Kevin Adametz
1c07fcb84b
Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen: dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md. - S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute). - S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt. - S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto. - S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet. API-Tokens bleiben bestehen. - S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID; Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink in derselben Browser-Session. - S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung; Hinweis-Mails an die (bisherige) Kontoadresse. - Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins und Admins bestätigen die Session für den Admin-Bereich per Passkey oder App-Code (EnsureStrongAdminAuthentication, Notfallschalter AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins. Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen), Larastan ohne Meldung. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
68 lines
2.3 KiB
PHP
68 lines
2.3 KiB
PHP
<?php
|
|
|
|
namespace App\Console\Commands;
|
|
|
|
use App\Models\User;
|
|
use App\Services\Auth\ContactAccessService;
|
|
use Illuminate\Console\Command;
|
|
use Illuminate\Support\Facades\DB;
|
|
|
|
/**
|
|
* Bewertet automatisch vergebene Firmenrechte (`granted_via` = auto bzw.
|
|
* auto-upgrade) aller betroffenen User neu (Sicherheitsaudit 07.10.2026,
|
|
* S-03). Der CompanyMembershipObserver erledigt das bei jeder Änderung über
|
|
* Eloquent; dieses Kommando bereinigt den Altbestand und repariert nach
|
|
* Massen-Updates per Query-Builder.
|
|
*
|
|
* Manuelle (`manual`) und API-Mitgliedschaften (`api`) bleiben unberührt.
|
|
*/
|
|
class ResyncAutomaticMemberships extends Command
|
|
{
|
|
protected $signature = 'memberships:resync-auto
|
|
{--user= : Nur diesen User (ID) abgleichen}';
|
|
|
|
protected $description = 'Gleicht automatisch vergebene Firmenrechte mit den aktuellen Kontakt- und Firmenadressen ab.';
|
|
|
|
public function handle(ContactAccessService $contactAccess): int
|
|
{
|
|
$before = $this->countAutomaticGrants();
|
|
|
|
$userIds = DB::table('company_user')
|
|
->whereIn('granted_via', ['auto', 'auto-upgrade'])
|
|
->when($this->option('user'), fn ($query, $userId) => $query->where('user_id', (int) $userId))
|
|
->distinct()
|
|
->pluck('user_id');
|
|
|
|
if ($userIds->isEmpty()) {
|
|
$this->info('Keine automatisch vergebenen Firmenrechte gefunden — nichts zu tun.');
|
|
|
|
return self::SUCCESS;
|
|
}
|
|
|
|
$bar = $this->output->createProgressBar($userIds->count());
|
|
|
|
foreach ($userIds->chunk(200) as $chunk) {
|
|
User::query()->whereIn('id', $chunk->all())->get()->each(function (User $user) use ($contactAccess, $bar): void {
|
|
$contactAccess->syncMembershipsForEmail($user);
|
|
$bar->advance();
|
|
});
|
|
}
|
|
|
|
$bar->finish();
|
|
$this->newLine();
|
|
|
|
$after = $this->countAutomaticGrants();
|
|
|
|
$this->info("Abgeglichen: {$userIds->count()} User. Automatische Rechte vorher {$before}, nachher {$after}.");
|
|
|
|
return self::SUCCESS;
|
|
}
|
|
|
|
private function countAutomaticGrants(): int
|
|
{
|
|
return DB::table('company_user')
|
|
->where('role', 'responsible')
|
|
->whereIn('granted_via', ['auto', 'auto-upgrade'])
|
|
->count();
|
|
}
|
|
}
|