gitmedia/presseportale
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions 2

images: nur freigegebene Bilder in Feed und PDF, versionierte Veröffentlichungssnapshots, Bestätigung an das gezeigte Bild gebunden, getrennte Rückhaltegründe (Umsetzungsaudit 29.09.: B-01 bis B-14, N09, OPT-3 bis OPT-5; 02.10.: O03)

Browse source 
- B-01/B-02: Startseiten-Feed, Card-Helfer und Nachweis-PDF nur mit
  isPubliclyDeliverable()
- B-03: Livewire-Temp-Upload 16 MiB
- N09: Snapshot je Bytes- und Metadaten-Hash inkl. OG-Variante, put()
  geprüft, alle Fassungen ins Archiv
- O03: published_ever_at in der Freigabetransaktion
  (markPublishedIfNowPublic) — Kundenbestätigung, Vorab-Sichtung, Korrektur
- B-04/B-14: Bestätigung an Bild-ID und SHA gebunden, unter Sperre
- B-05/B-06: Entfernen unter Sperre mit frischem Stand und Archivauftrag;
  Korrektur archiviert über den Auftrag, Nacharbeiten abgesichert
- B-07: precheck_withheld_at getrennt von withheld_at (Migration + Übernahme)
- B-08, B-09, B-11, B-12: published_ever_at nur bei Status published,
  Admin-Eigentümer mit Kundenregel, Sweep verwaister Originale,
  Verarbeitungsfehler als Formularmeldung
- K-02-Teil: nach Kundenbestätigung erneut routen
- OPT-3 bis OPT-5: pingImage für JPEG, Hash durchgereicht, erstes Frame

Admin-PM-Detailseite enthält zusätzlich K-06 (Autorisierung) und A-08
(Nachweis per POST), weil die Datei ungeteilt committet ist.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
Kevin Adametz 2026-10-02 13:09:01 +00:00
parent 60650baeb8
commit f1c0e2766b
23 changed files with 1675 additions and 149 deletions
Download patch file Download diff file Expand all files Collapse all files

10
tests/Feature/Images/ImageLifecycleTest.php
View file

@ -263,13 +263,15 @@ test('the evidence original is only reachable by admins with a purpose and every
$url = route('admin.press-releases.images.original', ['id' => $pr->id, 'image' => $image->id], absolute: false);
$this->get('https://pressekonto.test'.$url.'?purpose=Abmahnung+pr%C3%BCfen')->assertRedirect();
$this->post('https://pressekonto.test'.$url, ['purpose' => 'Abmahnung prüfen'])->assertRedirect();
$this->actingAs($author)->get('https://pressekonto.test'.$url.'?purpose=x')->assertStatus(403);
$this->actingAs($author)->post('https://pressekonto.test'.$url, ['purpose' => 'x'])->assertStatus(403);
$this->actingAs($admin)->get('https://pressekonto.test'.$url)->assertStatus(422);
// Zweck nur per POST (Umsetzungsaudit 29.09., A-08): GET zeigt das Formular.
$this->actingAs($admin)->get('https://pressekonto.test'.$url.'?purpose=x')->assertSuccessful()->assertSeeText('Zweck des Zugriffs');
$this->actingAs($admin)->post('https://pressekonto.test'.$url)->assertStatus(422);
$response = $this->actingAs($admin)->get('https://pressekonto.test'.$url.'?purpose=Abmahnung+pr%C3%BCfen');
$response = $this->actingAs($admin)->post('https://pressekonto.test'.$url, ['purpose' => 'Abmahnung prüfen']);
$response->assertSuccessful()->assertHeader('Cache-Control', 'no-store, private');
expect($response->streamedContent())->toBe('original-bytes-'.$image->id);