Kevin Adametz
15387d0a3f
- 2FA: Einrichtung verlangt jetzt die Bestätigung mit einem App-Code (Fortify confirm-Semantik); vorher blieb two_factor_confirmed_at leer und der Login fragte nie nach der Challenge. - Recovery-Codes nur noch einmalig sichtbar (nach Bestätigung bzw. Neu-Erzeugung), nicht mehr bei jedem Seitenaufruf. - E-Mail-Änderung als Pending-Flow: Bestätigungslink geht an die NEUE Adresse, die alte bleibt bis zum Klick aktiv — kein Aussperren durch Tippfehler und keine Registrierungs-Notice mehr nach dem Ändern. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
45 lines
1.7 KiB
PHP
45 lines
1.7 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Controllers\Auth;
|
|
|
|
use App\Http\Controllers\Controller;
|
|
use App\Models\User;
|
|
use Illuminate\Http\RedirectResponse;
|
|
use Illuminate\Http\Request;
|
|
|
|
class ConfirmEmailChangeController extends Controller
|
|
{
|
|
/**
|
|
* Übernimmt eine ausstehende E-Mail-Änderung, nachdem der Kunde den
|
|
* signierten Link aus der Mail an die NEUE Adresse geklickt hat.
|
|
* Bis dahin bleibt die alte Adresse aktiv (kein Aussperren bei Tippfehlern).
|
|
*/
|
|
public function __invoke(Request $request, User $user, string $hash): RedirectResponse
|
|
{
|
|
abort_unless($request->user()->is($user), 403);
|
|
|
|
if (! $user->pending_email) {
|
|
return redirect()->route('me.security')
|
|
->with('security-status', __('Es liegt keine ausstehende E-Mail-Änderung vor. Möglicherweise wurde der Link bereits verwendet.'));
|
|
}
|
|
|
|
abort_unless(hash_equals(sha1($user->pending_email), $hash), 403);
|
|
|
|
// Zwischenzeitlich vergeben? Dann Änderung verwerfen statt Konflikt anlegen.
|
|
if (User::query()->where('email', $user->pending_email)->whereKeyNot($user->id)->exists()) {
|
|
$user->forceFill(['pending_email' => null])->save();
|
|
|
|
return redirect()->route('me.security')
|
|
->with('security-error', __('Die neue E-Mail-Adresse wird inzwischen von einem anderen Konto verwendet. Die Änderung wurde verworfen.'));
|
|
}
|
|
|
|
$user->forceFill([
|
|
'email' => $user->pending_email,
|
|
'email_verified_at' => now(),
|
|
'pending_email' => null,
|
|
])->save();
|
|
|
|
return redirect()->route('me.security')
|
|
->with('security-status', __('Ihre E-Mail-Adresse wurde erfolgreich geändert.'));
|
|
}
|
|
}
|