presseportale/app/Models/ImageRightsConfirmation.php

<?php

namespace App\Models;

use App\Enums\ConfirmationChannel;
use Illuminate\Database\Eloquent\Model;
use Illuminate\Database\Eloquent\Relations\BelongsTo;
use Illuminate\Database\Eloquent\Relations\MorphTo;

/**
 * Protokollierte Rechtebestätigung zu einem Bild (Bildkennzeichnung A.2).
 *
 * Insert-only: `ImageRightsConfirmationObserver` wirft bei Update und
 * Delete. Die einzige zulässige Löschung ist die Sofortlöschung eines nie
 * veröffentlichten Uploads (Decision-Update E4) über purgeForUnpublished().
 *
 * `user_id` ist der Kontoinhaber und damit der Vertragspartner (E1);
 * `company_id` ist nur die Zuordnung zum Firmenprofil. `text_snapshot` hält
 * den gerenderten Wortlaut mit aufgelöster AGB-Fassung fest, damit die
 * Bestätigung auch dann rekonstruierbar bleibt, wenn `legal_texts` und
 * `legal_documents` weiterwachsen.
 */
class ImageRightsConfirmation extends Model
{
    public const UPDATED_AT = null;

    /**
     * Vom Observer geprüfter Freischein für die Sofortlöschung nie
     * veröffentlichter Uploads (E.3). Nie von außen setzen.
     */
    public bool $purgingUnpublished = false;

    /**
     * Zweiter Freischein: Löschung der Anwendungskopie, nachdem der
     * zugehörige Archiveintrag nach Fristablauf getombstont wurde
     * (Umsetzungsaudit 25.09.2026, 5.1 a). Nie von außen setzen.
     */
    public bool $purgingAfterArchive = false;

    protected $fillable = [
        'subject_type',
        'subject_id',
        'press_release_id',
        'company_id',
        'user_id',
        'personal_access_token_id',
        'channel',
        'legal_text_id',
        'legal_text_key',
        'text_snapshot',
        'agb_version',
        'locale',
        'file_sha256',
        'declaration_snapshot',
        'precheck_snapshot',
        'ip_hmac',
        'user_agent',
        'confirmed_at',
    ];

    protected function casts(): array
    {
        return [
            'channel' => ConfirmationChannel::class,
            'declaration_snapshot' => 'array',
            'precheck_snapshot' => 'array',
            'confirmed_at' => 'datetime',
        ];
    }

    /**
     * Pseudonymisierte IP-Ableitung: HMAC mit eigenem Schlüssel und
     * Versionspräfix (Decision-Update 3.7). Kein reiner Hash — ohne den
     * Schlüssel lässt sich keine Adresse zuordnen.
     */
    public static function hashIp(?string $ip): ?string
    {
        if (blank($ip)) {
            return null;
        }

        $key = (string) config('images.confirmation_ip_key');
        $version = (string) config('images.confirmation_ip_hash_version', 'v1');

        return $version.':'.hash_hmac('sha256', $ip, $key);
    }

    /**
     * Sofortlöschung eines nie veröffentlichten Uploads (E.3). Nur hier
     * darf eine Bestätigung verschwinden — der Observer prüft das Flag.
     */
    public function purgeForUnpublished(): void
    {
        $this->purgingUnpublished = true;
        $this->delete();
    }

    /**
     * Löschung nach Fristende des Beweisarchivs (5.1 a): die Kopie im Archiv
     * ist bereits weg, die Anwendungszeile darf nicht länger leben.
     */
    public function purgeAfterArchive(): void
    {
        $this->purgingAfterArchive = true;
        $this->delete();
    }

    /**
     * @return MorphTo<Model, $this>
     */
    public function subject(): MorphTo
    {
        return $this->morphTo();
    }

    /**
     * @return BelongsTo<PressRelease, $this>
     */
    public function pressRelease(): BelongsTo
    {
        return $this->belongsTo(PressRelease::class);
    }

    /**
     * @return BelongsTo<Company, $this>
     */
    public function company(): BelongsTo
    {
        return $this->belongsTo(Company::class);
    }

    /**
     * @return BelongsTo<User, $this>
     */
    public function user(): BelongsTo
    {
        return $this->belongsTo(User::class);
    }

    /**
     * @return BelongsTo<LegalText, $this>
     */
    public function legalText(): BelongsTo
    {
        return $this->belongsTo(LegalText::class);
    }
}