presseportale/app/Http/Middleware/EnsurePasskeyManagementIsConfirmed.php

<?php

namespace App\Http\Middleware;

use App\Actions\Admin\UserImpersonation;
use App\Models\User;
use App\Services\Auth\SecurityConfirmation;
use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

/**
 * Passkey hinzufügen nur mit frischem Identitätsnachweis (Entscheidung 5,
 * Sicherheitsaudit 07.10.2026, S-06): Ein Passkey ist dauerhafter Zugang —
 * eine fremde Session allein darf keinen hinterlegen. Den Nachweis erbringt
 * die Sicherheitsseite (ConfirmsIdentity), bevor sie die Registrierung im
 * Browser startet. Während einer Impersonation nie.
 *
 * Hängt über `fortify.middleware` an allen Fortify-Routen und greift nur bei
 * den Registrierungsrouten. Gelöscht wird über die Sicherheitsseite; die
 * Fortify-Löschroute sperrt BlockUnusedFortifyRoutes.
 */
class EnsurePasskeyManagementIsConfirmed
{
    /**
     * @var list<string>
     */
    public const GUARDED_ROUTES = [
        'passkey.registration-options',
        'passkey.store',
    ];

    public function __construct(private readonly SecurityConfirmation $confirmation) {}

    public function handle(Request $request, Closure $next): Response
    {
        if (! in_array($request->route()?->getName(), self::GUARDED_ROUTES, true)) {
            return $next($request);
        }

        $user = $request->user();

        if (! $user instanceof User || app(UserImpersonation::class)->isActive() || ! $this->confirmation->isFresh($user)) {
            abort(403, __('Bitte bestätigen Sie zuerst Ihre Identität.'));
        }

        return $next($request);
    }
}