feat: aulas experimentais guardadas, anti-spam partilhado nos formulários, audit das escritas

- Pedido de aula experimental passa a ficar em trial_leads (por ginásio)
  ANTES do email: sem SMTP o visitante já não vê «erro» e o pedido não se
  perde. Gestão → Aulas experimentais: estados, notas, CSV (auditado),
  apagar para a lixeira; aviso «sem email» quando o aviso não saiu.
- Aula experimental, inscrição e eventos usam o anti-spam do platform-tools
  (honeypot, carimbo assinado com tempo mínimo, prova de JS, limite por IP,
  pontuação de conteúdo) e o bloqueio de IP, em vez de honeypots locais.
  Recusas ficam em blocked_submissions; resposta igual à de sucesso.
  Falha aberto se o módulo rebentar.
- Checkbox de consentimento da aula experimental passa a ser guardada.
- Audit das escritas de conteúdo: criar/editar equipa, modalidades,
  eventos, mensalidades, pedidos de inscrição, galerias, horário (incl.
  arrastar no calendário), horas, contactos e ginásios, com antes/depois
  campo a campo (audit_row/audit_change). Exportação CSV de inscrições
  auditada.
- .table-responsive em todas as tabelas do backoffice.
- Migração: database/migration_20260926_trial_leads.sql (só cria tabelas).

Testado numa cópia da BD de produção: 63/63 verificações HTTP.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

site/evento.php

@@ -21,8 +21,10 @@ if ($can_view && $_SERVER['REQUEST_METHOD'] === 'POST') {
     csrf_check();
     $back = base_url('evento/' . rawurlencode($event['slug']));
 
-    // Honeypot: a filled "website" field means a bot — silently accept & drop.
-    if (trim((string) ($_POST['website'] ?? '')) !== '') {
+    // Anti-spam partilhado (config/functions_forms.php). Recusado = mesma
+    // resposta de sucesso; fica em blocked_submissions.
+    if (public_form_screen($pdo, 'evento', 'event_leads',
+            (string) ($_POST['lead_name'] ?? ''), (string) ($_POST['lead_message'] ?? '')) !== null) {
         header('Location: ' . $back . '?ok=1#inscricao');
         exit;
     }
@@ -197,8 +199,7 @@ require __DIR__ . '/_open.php';
 
                 <form method="POST" action="<?= base_url('evento/' . rawurlencode($event['slug'])) ?>#inscricao" class="event-form">
                     <?= csrf_field() ?>
-                    <!-- honeypot: must stay empty -->
-                    <input type="text" name="website" tabindex="-1" autocomplete="off" class="event-hp" aria-hidden="true">
+                    <?= public_form_trap('evento') /* honeypot + carimbo + prova de JS */ ?>
                     <div class="event-form-grid">
                         <div class="event-field">
                             <label>Nome *</label>