presseportale/app/Services/Auth/SessionRevocation.php

<?php

namespace App\Services\Auth;

use App\Models\User;
use Illuminate\Auth\Events\Login;
use Illuminate\Contracts\Session\Session;
use Illuminate\Support\Facades\Cache;

/**
 * Beendet alle offenen Browser-Sessions eines Kontos (Umsetzungsaudit
 * 29.09.2026, K-04).
 *
 * Die Sessions liegen in Redis und lassen sich nicht je Nutzer aufzählen;
 * Laravels `AuthenticateSession` greift nur bei gesetztem Passwort. Deshalb
 * ein Zeitstempel je Konto: Jede Anmeldung schreibt ihren Zeitpunkt in die
 * Session (`Login`-Event), `revokeAllFor()` merkt sich „ungültig vor jetzt",
 * und die Middleware EnsureSessionIsNotRevoked meldet jede ältere Session
 * beim nächsten Request ab. Die Marke lebt so lange wie eine Session
 * (`session.lifetime`) — danach ist jede ältere Session ohnehin abgelaufen.
 * Remember-Cookies deckt das Rotieren von `remember_token` ab, API-Tokens
 * löscht der Aufrufer.
 */
class SessionRevocation
{
    /**
     * Anmeldezeitpunkt der Session in Millisekunden.
     */
    public const SESSION_KEY = 'auth.logged_in_at_ms';

    /**
     * Alle bis jetzt entstandenen Sessions des Kontos werden ungültig.
     */
    public function revokeAllFor(User $user): int
    {
        $revokedAt = now()->getTimestampMs();

        Cache::put(
            $this->cacheKey((int) $user->getKey()),
            $revokedAt,
            now()->addMinutes(max(1, (int) config('session.lifetime', 120)) + 5),
        );

        return $revokedAt;
    }

    /**
     * Alle anderen Sessions des Kontos werden ungültig, die übergebene
     * (aktuelle) bleibt angemeldet: Sie erhält einen Anmeldezeitpunkt nach
     * der Sperre und eine neue Session-ID (Sicherheitsaudit 07.10.2026, S-04).
     */
    public function revokeOthersFor(User $user, Session $current): void
    {
        $revokedAt = $this->revokeAllFor($user);

        $current->put(self::SESSION_KEY, $revokedAt + 1);
        $current->migrate(true);
    }

    /**
     * Listener für `Login`: Zeitpunkt der Anmeldung in der Session.
     * Die Methode heißt bewusst nicht `handle*` (Event-Discovery).
     */
    public function stampLogin(Login $event): void
    {
        if (! app()->bound('request') || ! request()->hasSession()) {
            return;
        }

        request()->session()->put(self::SESSION_KEY, now()->getTimestampMs());
    }

    /**
     * Session stammt aus der Zeit vor der letzten Sperre dieses Kontos.
     * Ohne Anmeldezeitpunkt (Session von vor dem Deploy) gilt sie als alt.
     */
    public function isRevoked(int $userId, Session $session): bool
    {
        $revokedAt = Cache::get($this->cacheKey($userId));

        if ($revokedAt === null) {
            return false;
        }

        return (int) $session->get(self::SESSION_KEY, 0) < (int) $revokedAt;
    }

    private function cacheKey(int $userId): string
    {
        return 'auth.sessions-revoked-at.'.$userId;
    }
}