feat(audit): platform-tools atualizado (12f26fd) e registo de auditoria ligado

- shared/platform-tools: ea3616a → 12f26fd (27 commits). Traz o módulo de
  audit (f761d99, o pin da frota), «manter sessão iniciada», o registo de
  segurança da frota (o gancho que o login já tinha passa a funcionar) e a
  correção do IP do cliente encontrada nesta auditoria (último X-Forwarded-For
  / X-Real-IP), promovida ao partilhado. client_ip() da app delega nele.
- config/functions_audit.php: audit() sobre platform_audit(); tabela
  audit_log criada no primeiro uso, segredos ocultados, nunca parte a ação.
- Registado: login, falha de login, bloqueio por excesso de tentativas,
  logout, pedidos de recuperação, mudança/definição de palavra-passe,
  registo e criação de utilizadores, convites, perfil (antes/depois), todas
  as definições (db_update_setting, com valor anterior), cada passo da
  lixeira (apagar, restaurar, eliminar de vez) e ações nas mensagens.
- Sistema → Auditoria (views/sysadmin/audit.php), só sysadmin.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

shared/platform-tools/functions_client_ip.php

@@ -13,10 +13,21 @@
 //
 // A regra: toda a quinta está atrás do Nginx Proxy Manager, por isso o
 // REMOTE_ADDR é sempre o contentor do proxy (172.18.0.2) e nunca o visitante.
-// O X-Forwarded-For tem o valor certo, mas é um cabeçalho -- qualquer cliente o
-// escreve. Só se acredita nele quando TRUSTED_PROXY=true diz que há mesmo um
-// proxy à frente a reescrevê-lo; caso contrário era uma identidade forjável, e
-// qualquer limite por IP passava a valer zero.
+// Só se acredita nos cabeçalhos do proxy quando TRUSTED_PROXY=true E o pedido
+// chega mesmo de uma rede privada (o proxy); de fora, são forjáveis.
+//
+// E acredita-se no cabeçalho CERTO. O NPM faz
+//     proxy_set_header X-Real-IP       $remote_addr;
+//     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+// ou seja, X-Real-IP é sempre reescrito com o IP que o proxy viu, e o
+// X-Forwarded-For é ACRESCENTADO ao que o cliente mandou. Esta função usava o
+// primeiro valor do X-Forwarded-For — o que o cliente escreve. Com
+// "X-Forwarded-For: 1.2.3.4" cada pedido tinha o IP que o atacante quisesse, e
+// o throttle, o IP ban e o registo de auditoria contavam identidades inventadas
+// (encontrado na auditoria do fitme3070, 25/09/2026). Agora:
+//   1. X-Real-IP, se for um IP válido;
+//   2. senão o ÚLTIMO valor do X-Forwarded-For (o que o proxy acrescentou);
+//   3. senão REMOTE_ADDR.
 
 if (!function_exists('platform_client_ip')) {
     /**
@@ -28,16 +39,26 @@ if (!function_exists('platform_client_ip')) {
             ? filter_var(env('TRUSTED_PROXY', 'false'), FILTER_VALIDATE_BOOLEAN)
             : filter_var(getenv('TRUSTED_PROXY') ?: 'false', FILTER_VALIDATE_BOOLEAN);
 
-        if ($trusted && !empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
-            // O primeiro da lista é o cliente; os seguintes são os proxies por
-            // onde passou, e o NPM acrescenta-se ao fim.
-            $first = trim(explode(',', (string) $_SERVER['HTTP_X_FORWARDED_FOR'])[0]);
-            if (filter_var($first, FILTER_VALIDATE_IP)) {
-                return $first;
+        $remote = (string) ($_SERVER['REMOTE_ADDR'] ?? '');
+        $remoteOk = $remote !== '' && filter_var($remote, FILTER_VALIDATE_IP);
+        // Proxy = endereço privado/reservado (rede Docker, LAN, loopback).
+        $fromProxy = $remoteOk
+            && !filter_var($remote, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE);
+
+        if ($trusted && $fromProxy) {
+            $real = trim((string) ($_SERVER['HTTP_X_REAL_IP'] ?? ''));
+            if ($real !== '' && filter_var($real, FILTER_VALIDATE_IP)) {
+                return $real;
+            }
+            if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
+                $hops = array_map('trim', explode(',', (string) $_SERVER['HTTP_X_FORWARDED_FOR']));
+                $last = end($hops);
+                if ($last !== false && filter_var($last, FILTER_VALIDATE_IP)) {
+                    return $last;
+                }
             }
         }
 
-        $ip = $_SERVER['REMOTE_ADDR'] ?? null;
-        return ($ip && filter_var($ip, FILTER_VALIDATE_IP)) ? $ip : null;
+        return $remoteOk ? $remote : null;
     }
 }