WS-6: E-Mail-Verifizierung, Auth-Flow-Fixes & Legacy-Rollen-Sicherheitsfix

E-Mail-Verifizierung (Entscheidung 15.06.):
- User implementiert MustVerifyEmail; Registrierung legt inaktives, rollenloses
  Konto an und leitet auf die Danke-/Notice-Seite; Registered-Event versendet die
  Verifizierungsmail. Bestätigter Link aktiviert das Konto + vergibt customer-Rolle
  (ActivateUserAfterVerification). Backfill-Migration setzt email_verified_at für
  alle Bestands-User (sonst würde die verified-Middleware ~59k aktive Legacy-User
  aussperren). Seeder-User verifiziert.

Auth-Flow-Korrekturen:
- Magic-Link-Consume: rollensicherer Redirect ohne intended() (Customer landete
  sonst per stale intended=/dashboard im 403-Admin-Bereich).
- Guest-Redirect (bootstrap/app.php) rollen-/verifizierungsbewusst statt fix
  /dashboard – schließt die 403-Sackgasse auf /login und /register.
- Logout auf der Notice-Seite via echtes POST-Formular statt Livewire-Action
  (behebt 419 beim Session-Invalidate).
- Magic-Link-Anforderung über eigenes Modal mit separater E-Mail-Eingabe.
- Unverifizierte Login-Versuche landen auf der Notice-Seite.

Sicherheitsfix Legacy-Rollen:
- UserImporter mappte Alt-Gruppe 2 (Self-Publisher) auf editor (= Admin-Zugriff).
  Mapping auf customer korrigiert; Daten-Migration stuft die 65.950 fälschlichen
  Legacy-Editoren auf customer herab. Echte admin/api-only bleiben unberührt.

Tests: Registration, EmailVerification, Authentication (Guest-Redirect),
MagicLinkLogin (Modal/Redirect/Regression), Legacy-Import (Gruppen-Mapping).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

resources/views/livewire/auth/register.blade.php

@@ -36,21 +36,20 @@ new #[Layout('components.layouts.auth.pressekonto', ['heading' => 'Konto erstell
         unset($validated['terms_accepted']);
 
         $validated['password'] = Hash::make($validated['password']);
+        // Konto bleibt bis zur E-Mail-Verifizierung inaktiv und rollenlos
+        // (Entscheidung 15.06.). Rolle + Aktivierung erfolgen erst nach dem
+        // bestätigten Verifizierungslink (ActivateUserAfterVerification).
+        $validated['is_active'] = false;
 
+        // Das Registered-Event versendet über den verdrahteten
+        // SendEmailVerificationNotification-Listener die Bestätigungsmail.
         event(new Registered($user = User::create($validated)));
 
         Auth::login($user);
 
-        // Frisch registrierte User sind in der Regel Customer ohne Admin-
-        // Rollen → /admin/me. Ohne navigate:true, weil das Panel ein
-        // anderes Vite-Bundle nutzt als das Hub-Auth-Layout.
-        $defaultRoute = $user->canAccessAdmin()
-            ? route('dashboard', absolute: false)
-            : ($user->canAccessCustomer()
-                ? route('me.dashboard', absolute: false)
-                : '/');
-
-        $this->redirectIntended($defaultRoute);
+        // Direkt zur Bestätigungs-/Notice-Seite. Ohne navigate:true, weil das
+        // Panel ein anderes Vite-Bundle nutzt als das Hub-Auth-Layout.
+        $this->redirect(route('verification.notice', absolute: false));
     }
 }; ?>
 
@@ -171,5 +170,15 @@ new #[Layout('components.layouts.auth.pressekonto', ['heading' => 'Konto erstell
             <span wire:loading.remove wire:target="register">Konto erstellen</span>
             <span wire:loading wire:target="register">Konto wird angelegt …</span>
         </button>
+
+        <div class="flex items-center gap-3 !mt-[22px] !mb-[14px]">
+            <span class="flex-1 h-px bg-bg-rule"></span>
+            <span class="text-[11px] font-semibold tracking-[0.18em] uppercase text-ink-3">Bereits Konto?</span>
+            <span class="flex-1 h-px bg-bg-rule"></span>
+        </div>
+
+        <a href="{{ route('login') }}" class="auth-btn-outline !mt-0" wire:navigate>
+            Stattdessen anmelden
+        </a>
     </form>
 </div>