fix(segurança): lixeira de 30 dias, CSRF em todas as ações, IP real, sessão e uploads

Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html).

Lixeira
- Tudo o que é importante passa a soft delete (deleted_at + deleted_by):
  equipa, modalidades, eventos, mensalidades, galerias, imagens, horário,
  horas de funcionamento, inscrições em eventos e pedidos de inscrição.
- config/functions_trash.php: um registo por tipo; apagar, restaurar, listar
  e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira —
  a condição está no WHERE do DELETE, um POST forjado não apaga nada.
- Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e
  quando, restauro a qualquer momento.
- Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para
  .trash/ (negado pelo .htaccess) e volta no restauro.
- As listagens e o site público filtram deleted_at (horário também filtra
  modalidades apagadas). Migração: database/migration_20260925_trash.sql
  (só acrescenta colunas; tem de ser aplicada antes deste código).

CSRF
- csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía
  sem verificar nada em GET, e dez ações de apagar/restaurar eram GET.
- Os dez handlers passaram a POST com token; links viraram formulários.

Autenticação e sessão
- client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado
  com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global).
- Throttle também por conta (hash do email), além do IP.
- Sem oráculo de tempo: login verifica contra um hash de referência quando
  a conta não existe; a recuperação deixa o email na fila.
- Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode.
- Definições de sistema só para sysadmin; autocomplete=username.

Servidor e uploads
- .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy,
  CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais
  _*.php, PHP soltos do platform-tools e *.md; 404 própria.
- Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts,
  handlers on*=, foreignObject ou hrefs externos.

Testado numa cópia da BD de produção (fitme_audit_test) com um contentor
temporário: 34/34 verificações HTTP ponta-a-ponta.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/functions_images.php

@@ -20,6 +20,58 @@ const IMG_MAX_EVENT      = 1600;
 const IMG_JPEG_QUALITY = 82;
 const IMG_WEBP_QUALITY = 80;
 
+// ─── Validação de uploads ────────────────────────────────────────────────────
+// A extensão vem do nome que o browser manda e não prova nada: um PHP chamado
+// foto.jpg passava. Aqui decide-se pelo conteúdo (finfo, com getimagesize como
+// segunda opinião) e devolve-se a extensão CERTA para gravar, ou null.
+//
+// SVG é texto e pode levar <script>: só passa se a lista o permitir e se
+// svg_is_safe() não encontrar nada executável. Aberto diretamente no browser,
+// um SVG corre no domínio do site.
+
+function upload_image_ext(array $file, array $allowed): ?string {
+    $tmp = (string) ($file['tmp_name'] ?? '');
+    if ($tmp === '' || !is_uploaded_file($tmp)) return null;
+
+    $mime = '';
+    if (class_exists('finfo')) {
+        $mime = (string) (new finfo(FILEINFO_MIME_TYPE))->file($tmp);
+    }
+    $raster = ['image/jpeg' => 'jpg', 'image/png' => 'png', 'image/gif' => 'gif', 'image/webp' => 'webp'];
+
+    if (isset($raster[$mime]) || $mime === '') {
+        $info = @getimagesize($tmp);
+        $ext  = $info ? ($raster[$info['mime']] ?? null) : null;
+        if ($ext === null) return null;
+        if ($ext === 'jpg' && !in_array('jpg', $allowed, true) && in_array('jpeg', $allowed, true)) $ext = 'jpeg';
+        return in_array($ext, $allowed, true) ? $ext : null;
+    }
+
+    // SVG: o finfo diz image/svg+xml, text/xml ou text/plain conforme o ficheiro.
+    if (in_array('svg', $allowed, true) && in_array($mime, ['image/svg+xml', 'text/xml', 'application/xml', 'text/plain', 'text/html'], true)) {
+        $svg = (string) @file_get_contents($tmp, false, null, 0, 2 * 1024 * 1024);
+        if (stripos($svg, '<svg') === false) return null;
+        return svg_is_safe($svg) ? 'svg' : null;
+    }
+    return null;
+}
+
+// Recusa tudo o que num SVG executa código ou vai buscar coisas fora:
+// <script>, handlers on*=, javascript:, <foreignObject> (HTML embutido),
+// iframes/objetos, entidades XML e href/xlink:href que não sejam âncoras
+// internas (#id) nem imagens data:.
+function svg_is_safe(string $svg): bool {
+    $bad = '/<\s*script|<\s*foreignObject|<\s*(iframe|embed|object)\b|\bon[a-z]+\s*=|javascript\s*:|<!ENTITY|<!DOCTYPE[^>]*\[/i';
+    if (preg_match($bad, $svg)) return false;
+    if (preg_match_all('/\b(?:xlink:)?href\s*=\s*["\']\s*([^"\']*)/i', $svg, $m)) {
+        foreach ($m[1] as $href) {
+            if ($href === '' || $href[0] === '#' || stripos($href, 'data:image/') === 0) continue;
+            return false;
+        }
+    }
+    return true;
+}
+
 // Resize one file in place. Returns ['status' => 'resized'|'skipped'|'failed',
 // 'saved' => bytes freed (0 unless resized), 'reason' => short PT label].
 function img_optimize(string $path, int $max_dim): array {