fix(setup): ferme le wizard une fois la société configurée

Les routes /setup/* étaient derrière auth seul, donc n'importe quel
utilisateur authentifié pouvait ré-écrire Factory row 1 (nom, SIREN,
IBAN, logo) post-install. Le nouveau middleware setup.open coupe les
endpoints dès que Factory + comptes de base sont peuplés ; le
paramétrage post-install passe par les écrans admin dédiés.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

Author: SMEWebify

app/Http/Kernel.php

@@ -70,6 +70,7 @@ class Kernel extends HttpKernel
         'localeCookieRedirect'    => \Mcamara\LaravelLocalization\Middleware\LocaleCookieRedirect::class,
         'localeViewPath'          => \Mcamara\LaravelLocalization\Middleware\LaravelLocalizationViewPath::class,
         'check.factory'           => \App\Http\Middleware\CheckFactory::class,
+        'setup.open'              => \App\Http\Middleware\BlockOnceFactoryConfigured::class,
         'has.role'                => \App\Http\Middleware\CheckUserRole::class,
         'check.task.status'       => \App\Http\Middleware\CheckTaskStatus::class,
         'customer'                => \App\Http\Middleware\EnsureCustomerIsAuthenticated::class,

app/Http/Middleware/BlockOnceFactoryConfigured.php

@@ -0,0 +1,47 @@
+<?php
+
+namespace App\Http\Middleware;
+
+use Closure;
+use Illuminate\Http\Request;
+use App\Models\Admin\Factory;
+use App\Models\Accounting\AccountingVat;
+use App\Models\Accounting\AccountingPaymentConditions;
+use App\Models\Accounting\AccountingPaymentMethod;
+use App\Models\Accounting\AccountingDelivery;
+use App\Models\Methods\MethodsUnits;
+use Symfony\Component\HttpFoundation\Response;
+
+/**
+ * Ferme le wizard d'installation une fois que la société est configurée.
+ *
+ * Miroir inversé de CheckFactory : ce middleware coupe l'accès aux routes
+ * /setup/* dès que les six tables de base sont peuplées, pour qu'un
+ * utilisateur authentifié post-install ne puisse pas ré-écrire la
+ * ligne Factory ni écraser les référentiels comptables via le wizard.
+ *
+ * Le paramétrage post-install passe par les écrans admin dédiés
+ * (FactoryController, AccountingVatController, etc.).
+ */
+class BlockOnceFactoryConfigured
+{
+    public function handle(Request $request, Closure $next): Response
+    {
+        if (
+            Factory::exists()
+            && AccountingVat::exists()
+            && AccountingPaymentConditions::exists()
+            && AccountingPaymentMethod::exists()
+            && AccountingDelivery::exists()
+            && MethodsUnits::exists()
+        ) {
+            if ($request->expectsJson()) {
+                abort(403, 'Setup wizard is closed.');
+            }
+
+            return redirect()->route('dashboard');
+        }
+
+        return $next($request);
+    }
+}

routes/web.php

@@ -70,7 +70,9 @@
     Route::get('/pending-role', fn () => view('pending-role'))->middleware(['auth', 'verified'])->name('pending.role');
 
     // --- Setup wizard (installation initiale) ---
-    Route::middleware(['auth'])->prefix('setup')->name('setup.')->group(function () {
+    // setup.open ferme les endpoints dès que Factory + comptes de base sont créés,
+    // pour qu'un utilisateur post-install ne puisse pas ré-écrire la config société.
+    Route::middleware(['auth', 'setup.open'])->prefix('setup')->name('setup.')->group(function () {
         Route::get('/',                    'App\Http\Controllers\Setup\SetupController@index')->name('index');
         Route::post('/company',            'App\Http\Controllers\Setup\SetupController@saveCompany')->name('company');
         Route::post('/vat',                'App\Http\Controllers\Setup\SetupController@saveVat')->name('vat');