fix(segurança): lixeira de 30 dias, CSRF em todas as ações, IP real, sessão e uploads

Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html).

Lixeira
- Tudo o que é importante passa a soft delete (deleted_at + deleted_by):
  equipa, modalidades, eventos, mensalidades, galerias, imagens, horário,
  horas de funcionamento, inscrições em eventos e pedidos de inscrição.
- config/functions_trash.php: um registo por tipo; apagar, restaurar, listar
  e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira —
  a condição está no WHERE do DELETE, um POST forjado não apaga nada.
- Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e
  quando, restauro a qualquer momento.
- Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para
  .trash/ (negado pelo .htaccess) e volta no restauro.
- As listagens e o site público filtram deleted_at (horário também filtra
  modalidades apagadas). Migração: database/migration_20260925_trash.sql
  (só acrescenta colunas; tem de ser aplicada antes deste código).

CSRF
- csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía
  sem verificar nada em GET, e dez ações de apagar/restaurar eram GET.
- Os dez handlers passaram a POST com token; links viraram formulários.

Autenticação e sessão
- client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado
  com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global).
- Throttle também por conta (hash do email), além do IP.
- Sem oráculo de tempo: login verifica contra um hash de referência quando
  a conta não existe; a recuperação deixa o email na fila.
- Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode.
- Definições de sistema só para sysadmin; autocomplete=username.

Servidor e uploads
- .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy,
  CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais
  _*.php, PHP soltos do platform-tools e *.md; 404 própria.
- Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts,
  handlers on*=, foreignObject ou hrefs externos.

Testado numa cópia da BD de produção (fitme_audit_test) com um contentor
temporário: 34/34 verificações HTTP ponta-a-ponta.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/functions_events.php

@@ -153,16 +153,13 @@ function db_events_update(PDO $pdo, int $id, array $data): bool {
     return $stmt->rowCount() > 0;
 }
 
+// Soft delete para a lixeira (config/functions_trash.php).
 function db_events_delete(PDO $pdo, int $id): bool {
-    $stmt = $pdo->prepare("UPDATE events SET deleted_at = NOW() WHERE e_id = ? AND deleted_at IS NULL");
-    $stmt->execute([$id]);
-    return $stmt->rowCount() > 0;
+    return trash_delete($pdo, 'event', $id);
 }
 
 function db_events_restore(PDO $pdo, int $id): bool {
-    $stmt = $pdo->prepare("UPDATE events SET deleted_at = NULL WHERE e_id = ? AND deleted_at IS NOT NULL");
-    $stmt->execute([$id]);
-    return $stmt->rowCount() > 0;
+    return trash_restore($pdo, 'event', $id);
 }
 
 // ─── Hero image upload / removal ───────────────────────────────────────────────
@@ -192,9 +189,11 @@ function events_image_upload(array $file, ?string &$error = null): ?string {
         return null;
     }
     $allowed = ['png', 'jpg', 'jpeg', 'gif', 'webp'];
-    $ext = strtolower(pathinfo($file['name'] ?? '', PATHINFO_EXTENSION));
-    if (!in_array($ext, $allowed, true)) {
-        $error = 'Formato inválido. Permitidos: ' . implode(', ', $allowed) . '.';
+    // Tipo decidido pelo conteúdo, não pelo nome; SVG só sem scripts
+    // (config/functions_images.php).
+    $ext = upload_image_ext($file, $allowed);
+    if ($ext === null) {
+        $error = 'Formato inválido ou ficheiro que não é uma imagem válida. Permitidos: ' . implode(', ', $allowed) . '.';
         return null;
     }
 
@@ -226,14 +225,14 @@ function events_image_remove(?string $filename): void {
 // ─── Leads ─────────────────────────────────────────────────────────────────────
 
 function db_event_leads_list(PDO $pdo, int $eventId): array {
-    $stmt = $pdo->prepare("SELECT * FROM event_leads WHERE e_id = ? ORDER BY created_at DESC, lead_id DESC");
+    $stmt = $pdo->prepare("SELECT * FROM event_leads WHERE e_id = ? AND deleted_at IS NULL ORDER BY created_at DESC, lead_id DESC");
     $stmt->execute([$eventId]);
     return $stmt->fetchAll(PDO::FETCH_ASSOC);
 }
 
 function db_event_leads_count(PDO $pdo, int $eventId): int {
     try {
-        $stmt = $pdo->prepare("SELECT COUNT(*) FROM event_leads WHERE e_id = ?");
+        $stmt = $pdo->prepare("SELECT COUNT(*) FROM event_leads WHERE e_id = ? AND deleted_at IS NULL");
         $stmt->execute([$eventId]);
         return (int) $stmt->fetchColumn();
     } catch (Throwable $e) {
@@ -260,8 +259,11 @@ function db_event_lead_create(PDO $pdo, int $eventId, array $data): int {
     return (int) $pdo->lastInsertId();
 }
 
+// A inscrição tem de pertencer ao evento aberto (não se apaga a de outro
+// evento mudando o id). Vai para a lixeira.
 function db_event_lead_delete(PDO $pdo, int $leadId, int $eventId): bool {
-    $stmt = $pdo->prepare("DELETE FROM event_leads WHERE lead_id = ? AND e_id = ?");
-    $stmt->execute([$leadId, $eventId]);
-    return $stmt->rowCount() > 0;
+    $own = $pdo->prepare("SELECT 1 FROM event_leads WHERE lead_id = ? AND e_id = ?");
+    $own->execute([$leadId, $eventId]);
+    if (!$own->fetchColumn()) return false;
+    return trash_delete($pdo, 'event_lead', $leadId);
 }