Kevin Adametz
05cf53e17d
- Fortifys sieben 2FA-Verwaltungsrouten antworten mit 404 (Middleware über fortify.middleware); die Sicherheitsseite verlangt weiter den zweiten Faktor (U09) - PressReleasePolicy/CompanyPolicy::before() bejahen nur aktive Super-Admins (7.2) - API-Update prüft bei Portalwechsel die bestehende Kategorie gegen das neue Portal (U10) - Aggregation: Zeitbudget 480 s unter dem Lock von 600 s, Marke nur unter Zeilensperre vom erwarteten Stand aus, sonst Fehler-Exit (U13) - Newsletter-Bereinigungsmigration behält je Paar die sent-Zeile (U08) - E-Mail-Wechsel stößt den Rechte-Sync sofort an; company-memberships:audit --classify zeigt vorher die Kandidaten und begrenzt mit --before (7.1) - Detailseite wählt bei Slug-Kollision wie der Melde-Resolver (7.5) Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
51 lines
2 KiB
PHP
51 lines
2 KiB
PHP
<?php
|
||
|
||
namespace App\Http\Controllers\Auth;
|
||
|
||
use App\Http\Controllers\Controller;
|
||
use App\Models\User;
|
||
use App\Services\Auth\ContactAccessService;
|
||
use Illuminate\Http\RedirectResponse;
|
||
use Illuminate\Http\Request;
|
||
|
||
class ConfirmEmailChangeController extends Controller
|
||
{
|
||
/**
|
||
* Übernimmt eine ausstehende E-Mail-Änderung, nachdem der Kunde den
|
||
* signierten Link aus der Mail an die NEUE Adresse geklickt hat.
|
||
* Bis dahin bleibt die alte Adresse aktiv (kein Aussperren bei Tippfehlern).
|
||
*/
|
||
public function __invoke(Request $request, User $user, string $hash, ContactAccessService $contactAccess): RedirectResponse
|
||
{
|
||
abort_unless($request->user()->is($user), 403);
|
||
|
||
if (! $user->pending_email) {
|
||
return redirect()->route('me.security')
|
||
->with('security-status', __('Es liegt keine ausstehende E-Mail-Änderung vor. Möglicherweise wurde der Link bereits verwendet.'));
|
||
}
|
||
|
||
abort_unless(hash_equals(sha1($user->pending_email), $hash), 403);
|
||
|
||
// Zwischenzeitlich vergeben? Dann Änderung verwerfen statt Konflikt anlegen.
|
||
if (User::query()->where('email', $user->pending_email)->whereKeyNot($user->id)->exists()) {
|
||
$user->forceFill(['pending_email' => null])->save();
|
||
|
||
return redirect()->route('me.security')
|
||
->with('security-error', __('Die neue E-Mail-Adresse wird inzwischen von einem anderen Konto verwendet. Die Änderung wurde verworfen.'));
|
||
}
|
||
|
||
$user->forceFill([
|
||
'email' => $user->pending_email,
|
||
'email_verified_at' => now(),
|
||
'pending_email' => null,
|
||
])->save();
|
||
|
||
// Die Firmenrechte hängen an der Adresse (Audit 7.1): automatische
|
||
// Rechte der alten Adresse sofort zurücknehmen, passende der neuen
|
||
// vergeben – nicht erst beim nächsten Login.
|
||
$contactAccess->syncMembershipsForEmail($user);
|
||
|
||
return redirect()->route('me.security')
|
||
->with('security-status', __('Ihre E-Mail-Adresse wurde erfolgreich geändert.'));
|
||
}
|
||
}
|