presseportale/app/Services/Auth/SecurityConfirmation.php

<?php

namespace App\Services\Auth;

use App\Mail\SecurityConfirmationCode;
use App\Models\User;
use Illuminate\Support\Facades\Cache;
use Illuminate\Support\Facades\Mail;
use Illuminate\Support\Facades\RateLimiter;
use Illuminate\Support\Facades\Session;

/**
 * Frischer Identitätsnachweis vor dauerhaften Sicherheitsänderungen
 * (Sicherheitsaudit 07.10.2026, S-06): Login-Adresse ändern, 2FA erstmals
 * einrichten, API-Token erzeugen. Eine bestehende Session allein reicht dafür
 * nicht.
 *
 * Konten ohne Passwort und ohne 2FA (Magic-Link-/Google-Konten) bestätigen
 * per Einmal-Code an die aktuelle Kontoadresse — wer nur die Session, nicht
 * aber das Postfach hat, kommt damit nicht weiter. Nach erfolgreichem Nachweis
 * gilt die Session für FRESH_FOR_SECONDS als bestätigt.
 */
class SecurityConfirmation
{
    public const SESSION_KEY = 'auth.security_confirmed';

    public const FRESH_FOR_SECONDS = 900;

    public const CODE_VALID_MINUTES = 10;

    public const MAX_CODE_ATTEMPTS = 5;

    public function isFresh(User $user): bool
    {
        $confirmed = Session::get(self::SESSION_KEY);

        return is_array($confirmed)
            && (int) ($confirmed['user_id'] ?? 0) === (int) $user->getKey()
            && (int) ($confirmed['at'] ?? 0) >= now()->getTimestamp() - self::FRESH_FOR_SECONDS;
    }

    public function markConfirmed(User $user): void
    {
        Session::put(self::SESSION_KEY, [
            'user_id' => $user->getKey(),
            'at' => now()->getTimestamp(),
        ]);
    }

    /**
     * Schickt einen 6-stelligen Code an die aktuelle Kontoadresse. Liefert
     * false, wenn zu viele Codes angefordert wurden (3 je 10 Minuten).
     */
    public function sendEmailCode(User $user): bool
    {
        $throttleKey = 'security-email-code-send:'.$user->getKey();

        if (RateLimiter::tooManyAttempts($throttleKey, 3)) {
            return false;
        }

        RateLimiter::hit($throttleKey, 600);

        $code = str_pad((string) random_int(0, 999999), 6, '0', STR_PAD_LEFT);
        $expiresAt = now()->addMinutes(self::CODE_VALID_MINUTES);

        Cache::put($this->codeKey($user), [
            'hash' => $this->hash($code),
            'attempts' => 0,
            'expires_at' => $expiresAt->getTimestamp(),
        ], $expiresAt);

        Mail::to($user->email)->queue((new SecurityConfirmationCode(
            user: $user,
            code: $code,
            expiresAt: $expiresAt->format('H:i'),
        ))->afterCommit());

        return true;
    }

    /**
     * Prüft den Code; er ist nur einmal gültig und nach
     * MAX_CODE_ATTEMPTS Fehlversuchen verbraucht.
     */
    public function verifyEmailCode(User $user, string $code): bool
    {
        $key = $this->codeKey($user);
        $entry = Cache::get($key);

        if (! is_array($entry) || (int) ($entry['expires_at'] ?? 0) < now()->getTimestamp()) {
            return false;
        }

        if (hash_equals((string) $entry['hash'], $this->hash(trim($code)))) {
            Cache::forget($key);

            return true;
        }

        $entry['attempts'] = (int) $entry['attempts'] + 1;

        if ($entry['attempts'] >= self::MAX_CODE_ATTEMPTS) {
            Cache::forget($key);
        } else {
            Cache::put($key, $entry, now()->setTimestamp((int) $entry['expires_at']));
        }

        return false;
    }

    private function codeKey(User $user): string
    {
        return 'security-email-code:'.$user->getKey();
    }

    private function hash(string $code): string
    {
        return hash_hmac('sha256', $code, (string) config('app.key'));
    }
}