presseportale/app/Http/Middleware/BlockUnusedFortifyRoutes.php

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

/**
 * Sperrt die Fortify-Routen zur 2FA-Verwaltung, die das Projekt nicht nutzt
 * (Audit U09, Entscheidung E3/E8).
 *
 * Die Sicherheitsseite (customer/security) ruft die Fortify-Actions direkt
 * auf und verlangt vor Deaktivierung und Recovery-Codes einen TOTP- oder
 * Recovery-Code. Fortify registriert daneben eigene Routen für dieselben
 * Aktionen, die nur `password.confirm` verlangen – eine bis zu drei Stunden
 * alte Passwortbestätigung hätte den zweiten Faktor ersetzt. Fortify kennt
 * kein Abschalten einzelner Routen (nur `ignoreRoutes()` für alle), deshalb
 * hängt diese Middleware über `fortify.middleware` an allen Fortify-Routen
 * und beantwortet die ungenutzten mit 404. Challenge und Passwortwechsel
 * bleiben erreichbar.
 */
class BlockUnusedFortifyRoutes
{
    /**
     * @var list<string>
     */
    public const BLOCKED_ROUTES = [
        'two-factor.enable',
        'two-factor.confirm',
        'two-factor.disable',
        'two-factor.qr-code',
        'two-factor.secret-key',
        'two-factor.recovery-codes',
        'two-factor.regenerate-recovery-codes',
        // Passkeys löscht die Sicherheitsseite mit Identitätsnachweis
        // (Entscheidung 5, 07.10.2026).
        'passkey.destroy',
    ];

    public function handle(Request $request, Closure $next): Response
    {
        if (in_array($request->route()?->getName(), self::BLOCKED_ROUTES, true)) {
            abort(404);
        }

        return $next($request);
    }
}