web/api/ki: Soft Deletes wieder wirksam, Caches bei Firmenwechsel, KI-Ergebnis an Inhalt gebunden (Audit Block 3+4, Deploy D)

Block 3 — Sichtbarkeit, Löschung, Cache, Eingaben

F04: withoutGlobalScopes() ohne Argument entfernte neben dem PortalScope
auch den Soft-Delete-Filter. Öffentliche, Kunden-, API-, Vorschau- und
Medienpfade sowie die PressRelease-Helfer schreiben jetzt
withoutGlobalScope(PortalScope::class). Zwei Stellen, die der Audit nicht
kannte: die öffentliche Meldungsseite zeigte gelöschte Firmenkontakte mit
Name, Mail und Telefon; das Pressefach listete gelöschte Kontakte weiter
und ließ sie bearbeiten. Ein Architekturtest friert die 39 bewusst
verbliebenen Stellen (Admin, Importer, Befehle, Slug-Eindeutigkeit) ein.
Der Vorschau-Test prüfte bisher forceDelete statt delete.

F22: LOWER(email) machte auf companies (110k Zeilen) bei jedem Login einen
Vollscan; die Kollation ist ohnehin case-insensitiv. EmailQuery vergleicht
auf MySQL direkt über den Index, auf SQLite (Tests) weiter per LOWER.
Neuer Index contacts_email_idx.

F13: Firmen-Observer verwirft die öffentlichen Seiten-Caches bei
Löschung, Wiederherstellung und is_active-Wechsel auf jedem Weg; die
Newsroom-Seite prüft Sichtbarkeit vor dem Cache-Treffer; Kontakt-
Änderungen im Pressefach flushen. Der Tombstone-Test wärmte den Cache
vorher nicht und traf den Fehler nie.

F12: Gemeldete URLs werden über Host, Ausgabe und Slug aufgelöst
(ReportedUrlResolver); fremde Hosts zählen nicht, bei Doppelveröffentlichung
gewinnt die Erstquelle.

F11: per_page 1–100, status als Enum, language nur de/en, Kategorie muss
aktiv sein und zum Ziel-Portal passen. Legacy-Aliasse behalten ihren
Vertrag.

F23: Rückgabewert von put() wird geprüft; Logo erst speichern, dann
Datenbank, dann altes Logo löschen. Fehler enden als Feldfehler, nicht
als verlorenes Logo.

Block 4 — KI-Prüfung und Scheduler

F07: Klassifikation und Score tragen die Prüfsumme des Inhalts bei
Einplanung. Weicht sie beim Speichern ab, wird das Ergebnis verworfen
(ki_audits.discarded_at) und ein neuer Lauf eingeplant. Der Scheduler
veröffentlicht keine Meldung, deren jüngste Klassifikation nicht zum
aktuellen Text passt, sondern plant eine Prüfung mit Routing ein.

F18: Kontingent an den Kalendermonat gebunden (users.press_release_quota_period).
Verbrauch aus einem früheren Monat zählt null, auch ohne Reset-Cron; der
Reset ist idempotent und lässt den laufenden Monat in Ruhe.

F20: Der Publikations-Scheduler liefert bei technischen Fehlern einen
Fehler-Exit-Code, damit der Failure-Hook greift.

F17: KI-Jobs mit $timeout = 120, retry_after 150; Runbook ergänzt.

F19: Aggregation der Aufrufe unter einem Cache-Lock für alle Einstiege.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

app/Http/Controllers/Web/PressReleaseReportController.php

@@ -5,7 +5,6 @@ namespace App\Http\Controllers\Web;
 use App\Enums\LegalRequestStatus;
 use App\Enums\LegalRequestType;
 use App\Enums\LegalRequestVerificationMethod;
-use App\Enums\PressReleaseStatus;
 use App\Http\Controllers\Controller;
 use App\Mail\LegalRequestReceived;
 use App\Mail\LegalRequestSubmitted;
@@ -16,6 +15,7 @@ use App\Models\PressRelease;
 use App\Scopes\PortalScope;
 use App\Services\Auth\MagicLinkGenerator;
 use App\Services\PressRelease\AnonymizationService;
+use App\Services\Web\ReportedUrlResolver;
 use App\Support\WebPortalContext;
 use Illuminate\Http\RedirectResponse;
 use Illuminate\Http\Request;
@@ -36,6 +36,8 @@ class PressReleaseReportController extends Controller
 {
     private const SESSION_KEY = 'pm_report.verified';
 
+    public function __construct(private readonly ReportedUrlResolver $reportedUrls) {}
+
     /** @var array<string, LegalRequestType> */
     public const CONCERNS = [
         'correction' => LegalRequestType::Correction,
@@ -63,7 +65,7 @@ class PressReleaseReportController extends Controller
         $this->ensureNotRateLimited($request);
         RateLimiter::hit($this->throttleKey($request), 3600);
 
-        $pressRelease = $this->matchPublishedRelease($validated['reported_url']);
+        $pressRelease = $this->reportedUrls->resolve($validated['reported_url']);
 
         if (! $pressRelease) {
             throw ValidationException::withMessages([
@@ -322,19 +324,6 @@ class PressReleaseReportController extends Controller
         ];
     }
 
-    private function matchPublishedRelease(string $url): ?PressRelease
-    {
-        if (! preg_match('#/press-release/([^/?\#]+)#', $url, $matches)) {
-            return null;
-        }
-
-        return PressRelease::query()
-            ->withoutGlobalScope(PortalScope::class)
-            ->where('slug', urldecode($matches[1]))
-            ->where('status', PressReleaseStatus::Published)
-            ->first();
-    }
-
     /**
      * „kontakt@firma.de" → „k***@firma.de" — die Adresse selbst wird nie
      * angezeigt und nie aus dem Formular übernommen.