fix(segurança): lixeira de 30 dias, CSRF em todas as ações, IP real, sessão e uploads

Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html).

Lixeira
- Tudo o que é importante passa a soft delete (deleted_at + deleted_by):
  equipa, modalidades, eventos, mensalidades, galerias, imagens, horário,
  horas de funcionamento, inscrições em eventos e pedidos de inscrição.
- config/functions_trash.php: um registo por tipo; apagar, restaurar, listar
  e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira —
  a condição está no WHERE do DELETE, um POST forjado não apaga nada.
- Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e
  quando, restauro a qualquer momento.
- Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para
  .trash/ (negado pelo .htaccess) e volta no restauro.
- As listagens e o site público filtram deleted_at (horário também filtra
  modalidades apagadas). Migração: database/migration_20260925_trash.sql
  (só acrescenta colunas; tem de ser aplicada antes deste código).

CSRF
- csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía
  sem verificar nada em GET, e dez ações de apagar/restaurar eram GET.
- Os dez handlers passaram a POST com token; links viraram formulários.

Autenticação e sessão
- client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado
  com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global).
- Throttle também por conta (hash do email), além do IP.
- Sem oráculo de tempo: login verifica contra um hash de referência quando
  a conta não existe; a recuperação deixa o email na fila.
- Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode.
- Definições de sistema só para sysadmin; autocomplete=username.

Servidor e uploads
- .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy,
  CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais
  _*.php, PHP soltos do platform-tools e *.md; 404 própria.
- Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts,
  handlers on*=, foreignObject ou hrefs externos.

Testado numa cópia da BD de produção (fitme_audit_test) com um contentor
temporário: 34/34 verificações HTTP ponta-a-ponta.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/env.php

@@ -44,6 +44,33 @@ function env(string $key, $default = null) {
     return $v === false ? $default : $v;
 }
 
+// IP do visitante. Em produção o Apache só vê o Nginx Proxy Manager
+// (REMOTE_ADDR = 172.18.0.2 para toda a gente), e o throttle do login contava
+// tudo contra esse IP — cinco falhas de qualquer pessoa bloqueavam todos.
+//
+// Só se confia no proxy quando TRUSTED_PROXY=true E o pedido vem mesmo de uma
+// rede privada. Nesse caso:
+//   - X-Real-IP primeiro: o NPM escreve-o com o $remote_addr que viu, por cima
+//     de qualquer valor que o cliente tenha mandado;
+//   - senão o ÚLTIMO valor do X-Forwarded-For, que é o que o proxy acrescentou.
+//     O primeiro é escrito pelo cliente (o NPM acrescenta, não substitui) e
+//     serve para forjar identidades — o platform_client_ip() partilhado ainda
+//     o usa.
+function client_ip(): string {
+    $remote = (string) ($_SERVER['REMOTE_ADDR'] ?? '');
+    $trusted = filter_var(env('TRUSTED_PROXY', 'false'), FILTER_VALIDATE_BOOLEAN);
+    $fromProxy = $remote !== '' && filter_var($remote, FILTER_VALIDATE_IP)
+        && !filter_var($remote, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE);
+    if ($trusted && $fromProxy) {
+        $real = trim((string) ($_SERVER['HTTP_X_REAL_IP'] ?? ''));
+        if (filter_var($real, FILTER_VALIDATE_IP)) return $real;
+        $xff = array_map('trim', explode(',', (string) ($_SERVER['HTTP_X_FORWARDED_FOR'] ?? '')));
+        $last = end($xff);
+        if ($last !== false && filter_var($last, FILTER_VALIDATE_IP)) return $last;
+    }
+    return $remote !== '' ? $remote : '0.0.0.0';
+}
+
 // True when the current request is HTTPS — including when TLS terminates at a
 // reverse proxy. Behind a proxy you MUST set TRUSTED_PROXY=true in .env or the
 // X-Forwarded-Proto header is ignored (otherwise any client could spoof it).