feat: aulas experimentais guardadas, anti-spam partilhado nos formulários, audit das escritas

- Pedido de aula experimental passa a ficar em trial_leads (por ginásio)
  ANTES do email: sem SMTP o visitante já não vê «erro» e o pedido não se
  perde. Gestão → Aulas experimentais: estados, notas, CSV (auditado),
  apagar para a lixeira; aviso «sem email» quando o aviso não saiu.
- Aula experimental, inscrição e eventos usam o anti-spam do platform-tools
  (honeypot, carimbo assinado com tempo mínimo, prova de JS, limite por IP,
  pontuação de conteúdo) e o bloqueio de IP, em vez de honeypots locais.
  Recusas ficam em blocked_submissions; resposta igual à de sucesso.
  Falha aberto se o módulo rebentar.
- Checkbox de consentimento da aula experimental passa a ser guardada.
- Audit das escritas de conteúdo: criar/editar equipa, modalidades,
  eventos, mensalidades, pedidos de inscrição, galerias, horário (incl.
  arrastar no calendário), horas, contactos e ginásios, com antes/depois
  campo a campo (audit_row/audit_change). Exportação CSV de inscrições
  auditada.
- .table-responsive em todas as tabelas do backoffice.
- Migração: database/migration_20260926_trial_leads.sql (só cria tabelas).

Testado numa cópia da BD de produção: 63/63 verificações HTTP.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

views/admin/trials/index.php

@@ -0,0 +1,119 @@
+<?php
+require __DIR__ . '/../../../config/db.php';
+require __DIR__ . '/../../../config/functions.php';
+$user = require_admin();
+
+// Pedidos de aula experimental do ginásio que se está a editar (seletor
+// «A editar» no topo). Guardados por site/agendar.php antes do email.
+$gymId    = admin_gym_id();
+$statuses = trial_lead_statuses();
+$filter   = (string) ($_GET['status'] ?? '');
+if (!isset($statuses[$filter])) $filter = '';
+$self = base_url('views/admin/trials/index.php' . ($filter !== '' ? '?status=' . $filter : ''));
+
+if ($_SERVER['REQUEST_METHOD'] === 'POST') {
+    csrf_check();
+    if (isset($_POST['delete'])) {
+        db_trial_lead_delete($pdo, (int) $_POST['delete'], $gymId)
+            ? session()->setFlashdata('success', 'Pedido apagado — fica na lixeira 30 dias.')
+            : session()->setFlashdata('error', 'Pedido não encontrado neste ginásio.');
+    } elseif (isset($_POST['save'])) {
+        $id = (int) $_POST['save'];
+        db_trial_lead_update($pdo, $id, $gymId, (string) ($_POST['status'][$id] ?? ''), trim((string) ($_POST['notes'][$id] ?? '')));
+        session()->setFlashdata('success', 'Pedido atualizado.');
+    }
+    header('Location: ' . $self);
+    exit;
+}
+
+$leads = db_trial_leads_list($pdo, $gymId, $filter);
+
+// CSV do filtro atual (Excel: BOM UTF-8 + ';'). Dados pessoais — fica no audit.
+if (isset($_GET['csv'])) {
+    audit('export.trial_leads', [
+        'target_type' => 'trial_lead', 'target_label' => 'CSV (' . count($leads) . ' registos)',
+        'summary' => 'Exportação CSV de pedidos de aula experimental' . ($filter !== '' ? ' — estado: ' . $filter : ''),
+    ]);
+    header('Content-Type: text/csv; charset=utf-8');
+    header('Content-Disposition: attachment; filename="aulas-experimentais-' . date('Y-m-d') . '.csv"');
+    $out = fopen('php://output', 'w');
+    fwrite($out, "\xEF\xBB\xBF");
+    fputcsv($out, ['Data do pedido', 'Nome', 'Telemóvel', 'E-mail', 'Dia preferido', 'Período', 'Mensagem', 'Estado', 'Notas', 'Consentimento'], ';', '"', '');
+    foreach ($leads as $l) {
+        fputcsv($out, [
+            date('d/m/Y H:i', strtotime($l['created_at'])), $l['name'], $l['phone'], $l['email'],
+            $l['preferred_date'] ? date('d/m/Y', strtotime($l['preferred_date'])) : '', $l['period'], (string) $l['message'],
+            $statuses[$l['status']] ?? $l['status'], (string) $l['admin_notes'], $l['consent'] ? 'sim' : 'não',
+        ], ';', '"', '');
+    }
+    exit;
+}
+
+$badge = ['novo' => 'bg-danger', 'contactado' => 'bg-info text-dark', 'marcado' => 'bg-success', 'descartado' => 'bg-secondary'];
+$page_title = 'Aulas experimentais';
+include __DIR__ . '/../../../includes/header.php';
+?>
+<div class="container">
+    <div class="d-flex justify-content-between align-items-center flex-wrap gap-2 mb-3">
+        <h1 class="h3 mb-0">Aulas experimentais</h1>
+        <a class="btn btn-outline-secondary" href="<?= $self . ($filter !== '' ? '&' : '?') ?>csv=1"><i class="bi bi-filetype-csv me-1"></i>Exportar CSV</a>
+    </div>
+    <p class="text-muted small">Pedidos feitos no botão «Marca a tua aula experimental». Ficam guardados aqui mesmo que o email de aviso não chegue.</p>
+
+    <ul class="nav nav-pills mb-3 flex-wrap">
+        <li class="nav-item"><a class="nav-link<?= $filter === '' ? ' active' : '' ?>" href="?">Todos</a></li>
+        <?php foreach ($statuses as $k => $label): ?>
+        <li class="nav-item"><a class="nav-link<?= $filter === $k ? ' active' : '' ?>" href="?status=<?= htmlspecialchars($k) ?>"><?= htmlspecialchars($label) ?></a></li>
+        <?php endforeach; ?>
+    </ul>
+
+    <form method="POST" class="card shadow-sm"><div class="card-body p-0">
+        <?= csrf_field() ?>
+        <div class="table-responsive">
+        <table class="table align-middle mb-0">
+            <thead class="table-light"><tr>
+                <th>Pedido</th><th>Contacto</th><th>Preferência</th><th>Mensagem</th><th style="min-width:220px">Estado / notas</th><th></th>
+            </tr></thead>
+            <tbody>
+            <?php if (!$leads): ?>
+                <tr><td colspan="6" class="text-center text-muted py-4">Sem pedidos.</td></tr>
+            <?php else: foreach ($leads as $l): $id = (int) $l['id']; ?>
+                <tr>
+                    <td class="small text-nowrap">
+                        <?= htmlspecialchars(date('d/m/Y H:i', strtotime($l['created_at']))) ?>
+                        <?php if (!$l['email_sent']): ?><div><span class="badge bg-warning text-dark" title="O email de aviso não saiu — o pedido só existe aqui">sem email</span></div><?php endif; ?>
+                    </td>
+                    <td class="small">
+                        <strong><?= htmlspecialchars($l['name']) ?></strong>
+                        <?php if ($l['phone'] !== ''): ?><div><a href="tel:<?= htmlspecialchars(preg_replace('/\s+/', '', $l['phone'])) ?>"><?= htmlspecialchars($l['phone']) ?></a></div><?php endif; ?>
+                        <?php if ($l['email'] !== ''): ?><div><a href="mailto:<?= htmlspecialchars($l['email']) ?>"><?= htmlspecialchars($l['email']) ?></a></div><?php endif; ?>
+                        <?php if ($l['consent']): ?><span class="badge bg-success mt-1" title="<?= htmlspecialchars($l['consent_text'] . ' · IP ' . $l['ip']) ?>">RGPD <i class="bi bi-check-lg"></i></span><?php endif; ?>
+                    </td>
+                    <td class="small text-nowrap">
+                        <?= $l['preferred_date'] ? htmlspecialchars(date('d/m/Y', strtotime($l['preferred_date']))) : '<span class="text-muted">—</span>' ?>
+                        <?php if ($l['period'] !== ''): ?><div class="text-muted"><?= htmlspecialchars($l['period']) ?></div><?php endif; ?>
+                    </td>
+                    <td class="small" style="max-width:260px;"><?= (string) $l['message'] !== '' ? nl2br(htmlspecialchars((string) $l['message'])) : '<span class="text-muted">—</span>' ?></td>
+                    <td>
+                        <div class="d-flex gap-1 mb-1">
+                            <select class="form-select form-select-sm" name="status[<?= $id ?>]" aria-label="Estado">
+                                <?php foreach ($statuses as $k => $label): ?>
+                                <option value="<?= htmlspecialchars($k) ?>" <?= $l['status'] === $k ? 'selected' : '' ?>><?= htmlspecialchars($label) ?></option>
+                                <?php endforeach; ?>
+                            </select>
+                            <span class="badge <?= $badge[$l['status']] ?? 'bg-secondary' ?> align-self-center"><?= htmlspecialchars($statuses[$l['status']] ?? $l['status']) ?></span>
+                        </div>
+                        <textarea class="form-control form-control-sm" name="notes[<?= $id ?>]" rows="2" placeholder="Notas internas" aria-label="Notas internas"><?= htmlspecialchars((string) $l['admin_notes']) ?></textarea>
+                    </td>
+                    <td class="text-nowrap">
+                        <button class="btn btn-sm btn-outline-primary" name="save" value="<?= $id ?>" title="Guardar" aria-label="Guardar"><i class="bi bi-check-lg"></i></button>
+                        <button class="btn btn-sm btn-outline-danger" name="delete" value="<?= $id ?>" title="Apagar" aria-label="Apagar" onclick="return confirm('Apagar este pedido? Fica na lixeira durante 30 dias.')"><i class="bi bi-trash"></i></button>
+                    </td>
+                </tr>
+            <?php endforeach; endif; ?>
+            </tbody>
+        </table>
+        </div>
+    </div></form>
+</div>
+<?php include __DIR__ . '/../../../includes/footer.php';