fix(segurança): lixeira de 30 dias, CSRF em todas as ações, IP real, sessão e uploads

Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html). Lixeira - Tudo o que é importante passa a soft delete (deleted_at + deleted_by): equipa, modalidades, eventos, mensalidades, galerias, imagens, horário, horas de funcionamento, inscrições em eventos e pedidos de inscrição. - config/functions_trash.php: um registo por tipo; apagar, restaurar, listar e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira — a condição está no WHERE do DELETE, um POST forjado não apaga nada. - Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e quando, restauro a qualquer momento. - Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para .trash/ (negado pelo .htaccess) e volta no restauro. - As listagens e o site público filtram deleted_at (horário também filtra modalidades apagadas). Migração: database/migration_20260925_trash.sql (só acrescenta colunas; tem de ser aplicada antes deste código). CSRF - csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía sem verificar nada em GET, e dez ações de apagar/restaurar eram GET. - Os dez handlers passaram a POST com token; links viraram formulários. Autenticação e sessão - client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global). - Throttle também por conta (hash do email), além do IP. - Sem oráculo de tempo: login verifica contra um hash de referência quando a conta não existe; a recuperação deixa o email na fila. - Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode. - Definições de sistema só para sysadmin; autocomplete=username. Servidor e uploads - .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy, CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais _*.php, PHP soltos do platform-tools e *.md; 404 própria. - Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts, handlers on*=, foreignObject ou hrefs externos. Testado numa cópia da BD de produção (fitme_audit_test) com um contentor temporário: 34/34 verificações HTTP ponta-a-ponta. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-25 07:16:10 +01:00
1 parent d70f13aea0
commit 895b3d58d7
@@ -6,7 +6,8 @@ $user = require_admin();
 $id = (int) ($_GET['id'] ?? 0);
 if (!$id) { header('Location: index.php'); exit; }

-if (isset($_GET['restore'])) {
+// Restaurar só por POST + CSRF (o formulário aponta para ?restore=1).
+if ($_SERVER['REQUEST_METHOD'] === 'POST' && (isset($_POST['restore']) || isset($_GET['restore']))) {
    csrf_check();
    db_events_restore($pdo, $id);
    session()->setFlashdata('success', 'Evento restaurado.');
@@ -21,7 +22,7 @@ if (!$item) { header('Location: index.php'); exit; }
 if (isset($_POST['delete_lead'])) {
    csrf_check();
    db_event_lead_delete($pdo, (int) $_POST['delete_lead'], $id);
-    session()->setFlashdata('success', 'Inscrição removida.');
+    session()->setFlashdata('success', 'Inscrição removida — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/events/edit.php?id=' . $id . '#leads'));
    exit;
 }
@@ -4,10 +4,11 @@ require __DIR__ . '/../../../config/functions.php';
 $user = require_admin();

 // Handle delete BEFORE any output
-if (isset($_GET['delete']) && is_numeric($_GET['delete'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
    csrf_check();
-    db_events_delete($pdo, (int) $_GET['delete']);
-    session()->setFlashdata('success', 'Evento apagado.');
+    db_events_delete($pdo, (int) $_POST['delete']);
+    session()->setFlashdata('success', 'Evento apagado — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/events/index.php'));
    exit;
 }
@@ -70,7 +71,7 @@ include __DIR__ . '/../../../includes/header.php';
                            <a class="btn btn-sm btn-outline-secondary" href="<?= base_url('evento/' . rawurlencode($item['slug'])) ?>" target="_blank" rel="noopener" title="Ver página"><i class="bi bi-box-arrow-up-right"></i></a>
                            <?php endif; ?>
                            <a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $item['e_id'] ?>"><i class="bi bi-pencil"></i></a>
-                            <a class="btn btn-sm btn-outline-danger" href="?delete=<?= $item['e_id'] ?>" onclick="return confirm('Apagar este evento?')"><i class="bi bi-trash"></i></a>
+                            <form method="POST" class="d-inline" onsubmit="return confirm('Apagar este evento?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $item['e_id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
                        <?php endif; ?>
                    </td>
                </tr>
@@ -45,10 +45,11 @@ if (isset($_POST['optimize'])) {
 }

 // Delete image
-if (isset($_GET['del_img']) && is_numeric($_GET['del_img'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['del_img']) && is_numeric($_POST['del_img'])) {
    csrf_check();
-    db_gallery_image_delete($pdo, (int) $_GET['del_img'], $id);
-    session()->setFlashdata('success', 'Imagem removida.');
+    db_gallery_image_delete($pdo, (int) $_POST['del_img'], $id);
+    session()->setFlashdata('success', 'Imagem removida — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/galerias/edit.php?id=' . $id));
    exit;
 }
@@ -112,10 +113,11 @@ include __DIR__ . '/../../../includes/header.php';
                    <div class="col-6 col-lg-4 position-relative">
                        <img src="<?= base_url('uploads/gallery/' . $id . '/' . $img['i_file_name']) ?>"
                             alt="" class="img-thumbnail w-100" style="height:140px;object-fit:cover;" loading="lazy">
-                        <a class="btn btn-sm btn-danger position-absolute top-0 end-0 m-1 rounded-circle"
-                           href="?id=<?= $id ?>&del_img=<?= $img['i_id'] ?>"
-                           onclick="return confirm('Remover esta imagem?')"
-                           style="width:28px;height:28px;display:flex;align-items:center;justify-content:center;font-size:12px">&times;</a>
+                        <form method="POST" class="position-absolute top-0 end-0 m-1" onsubmit="return confirm('Remover esta imagem? Fica na lixeira durante 30 dias.')">
+                            <?= csrf_field() ?>
+                            <button class="btn btn-sm btn-danger rounded-circle" name="del_img" value="<?= (int) $img['i_id'] ?>" aria-label="Remover imagem"
+                                    style="width:28px;height:28px;display:flex;align-items:center;justify-content:center;font-size:12px">&times;</button>
+                        </form>
                    </div>
                <?php endforeach; ?>
                </div>
@@ -4,10 +4,11 @@ require __DIR__ . '/../../../config/functions.php';
 $user = require_admin();

 // Handle delete BEFORE any output
-if (isset($_GET['delete']) && is_numeric($_GET['delete'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
    csrf_check();
-    db_gallery_delete($pdo, (int) $_GET['delete']);
-    session()->setFlashdata('success', 'Galeria apagada.');
+    db_gallery_delete($pdo, (int) $_POST['delete']);
+    session()->setFlashdata('success', 'Galeria apagada — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/galerias/index.php'));
    exit;
 }
@@ -58,7 +59,7 @@ include __DIR__ . '/../../../includes/header.php';
                    <td><strong><?= htmlspecialchars($g['name']) ?></strong></td>
                    <td>
                        <a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $g['id'] ?>"><i class="bi bi-pencil"></i> Gerir</a>
-                        <a class="btn btn-sm btn-outline-danger" href="?delete=<?= $g['id'] ?>" onclick="return confirm('Apagar esta galeria e todas as suas imagens?')"><i class="bi bi-trash"></i></a>
+                        <form method="POST" class="d-inline" onsubmit="return confirm('Apagar esta galeria e todas as suas imagens?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $g['id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
                    </td>
                </tr>
            <?php endforeach; endif; ?>
@@ -4,10 +4,11 @@ require __DIR__ . '/../../../config/functions.php';
 $user = require_admin();

 // Handle delete BEFORE any output
-if (isset($_GET['delete']) && is_numeric($_GET['delete'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
    csrf_check();
-    db_horario_delete($pdo, (int) $_GET['delete']);
-    session()->setFlashdata('success', 'Aula removida.');
+    db_horario_delete($pdo, (int) $_POST['delete']);
+    session()->setFlashdata('success', 'Aula removida — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/horario/index.php'));
    exit;
 }
@@ -49,7 +50,7 @@ $dias = ['segunda'=>'Segunda','terça'=>'Terça','quarta'=>'Quarta','quinta'=>'Q
                    <td><span class="badge bg-light text-dark"><?= htmlspecialchars($item['local']) ?></span></td>
                    <td>
                        <a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $item['id'] ?>"><i class="bi bi-pencil"></i></a>
-                        <a class="btn btn-sm btn-outline-danger" href="?delete=<?= $item['id'] ?>" onclick="return confirm('Remover esta aula?')"><i class="bi bi-trash"></i></a>
+                        <form method="POST" class="d-inline" onsubmit="return confirm('Remover esta aula?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $item['id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
                    </td>
                </tr>
            <?php endforeach; endif; ?>
@@ -8,7 +8,7 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    csrf_check();
    if (isset($_POST['delete'])) {
        db_memberships_delete($pdo, (int) $_POST['delete']);
-        session()->setFlashdata('success', 'Mensalidade apagada.');
+        session()->setFlashdata('success', 'Mensalidade apagada — fica na lixeira 30 dias.');
    } elseif (isset($_POST['restore'])) {
        db_memberships_restore($pdo, (int) $_POST['restore']);
        session()->setFlashdata('success', 'Mensalidade restaurada.');
@@ -12,7 +12,7 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    csrf_check();
    if (isset($_POST['delete'])) {
        db_membership_lead_delete($pdo, (int) $_POST['delete']);
-        session()->setFlashdata('success', 'Pedido apagado.');
+        session()->setFlashdata('success', 'Pedido apagado — fica na lixeira 30 dias.');
    } elseif (isset($_POST['save'])) {
        $id = (int) $_POST['save'];
        db_membership_lead_update($pdo, $id, (string) ($_POST['status'][$id] ?? ''), trim((string) ($_POST['notes'][$id] ?? '')));
@@ -6,7 +6,8 @@ $user = require_admin();
 $id = (int) ($_GET['id'] ?? 0);
 if (!$id) { header('Location: index.php'); exit; }

-if (isset($_GET['restore'])) {
+// Restaurar só por POST + CSRF (o formulário aponta para ?restore=1).
+if ($_SERVER['REQUEST_METHOD'] === 'POST' && (isset($_POST['restore']) || isset($_GET['restore']))) {
    csrf_check();
    db_modalidades_restore($pdo, $id);
    session()->setFlashdata('success', 'Modalidade restaurada.');
@@ -4,10 +4,11 @@ require __DIR__ . '/../../../config/functions.php';
 $user = require_admin();

 // Handle delete BEFORE any output
-if (isset($_GET['delete']) && is_numeric($_GET['delete'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
    csrf_check();
-    db_modalidades_delete($pdo, (int) $_GET['delete']);
-    session()->setFlashdata('success', 'Modalidade apagada.');
+    db_modalidades_delete($pdo, (int) $_POST['delete']);
+    session()->setFlashdata('success', 'Modalidade apagada — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/modalidades/index.php'));
    exit;
 }
@@ -60,10 +61,10 @@ include __DIR__ . '/../../../includes/header.php';
                    <td><?= (int) $item['item_order'] ?></td>
                    <td>
                        <?php if ($item['deleted_at']): ?>
-                            <a class="btn btn-sm btn-outline-info" href="edit.php?id=<?= $item['m_id'] ?>&restore=1">Restaurar</a>
+                            <form method="POST" action="edit.php?id=<?= (int) $item['m_id'] ?>&amp;restore=1" class="d-inline"><?= csrf_field() ?><button class="btn btn-sm btn-outline-info" name="restore" value="1">Restaurar</button></form>
                        <?php else: ?>
                            <a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $item['m_id'] ?>"><i class="bi bi-pencil"></i></a>
-                            <a class="btn btn-sm btn-outline-danger" href="?delete=<?= $item['m_id'] ?>" onclick="return confirm('Apagar esta modalidade?')"><i class="bi bi-trash"></i></a>
+                            <form method="POST" class="d-inline" onsubmit="return confirm('Apagar esta modalidade?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $item['m_id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
                        <?php endif; ?>
                    </td>
                </tr>
@@ -24,8 +24,9 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Photo upload
    $photo_name = null;
    if (!empty($_FILES['photo']['tmp_name']) && $_FILES['photo']['error'] === UPLOAD_ERR_OK) {
-        $ext = strtolower(pathinfo($_FILES['photo']['name'], PATHINFO_EXTENSION));
-        if (!in_array($ext, ['jpg','jpeg','png','gif','webp'])) $errors[] = 'Formato de foto inválido.';
+        // Tipo decidido pelo conteúdo, não pelo nome (config/functions_images.php).
+        $ext = upload_image_ext($_FILES['photo'], ['jpg','jpeg','png','gif','webp']);
+        if ($ext === null) $errors[] = 'Formato de foto inválido (JPG, PNG, GIF ou WebP).';
        else {
            $upload_dir = __DIR__ . '/../../../uploads/team/foto/';
            if (!is_dir($upload_dir)) @mkdir($upload_dir, 0775, true);
@@ -7,7 +7,8 @@ $id = (int) ($_GET['id'] ?? 0);
 if (!$id) { header('Location: index.php'); exit; }

 // Handle restore
-if (isset($_GET['restore'])) {
+// Restaurar só por POST + CSRF (o formulário aponta para ?restore=1).
+if ($_SERVER['REQUEST_METHOD'] === 'POST' && (isset($_POST['restore']) || isset($_GET['restore']))) {
    csrf_check();
    db_team_restore($pdo, $id);
    session()->setFlashdata('success', 'Membro restaurado.');
@@ -37,8 +38,9 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {

    $photo_name = null;
    if (!empty($_FILES['photo']['tmp_name']) && $_FILES['photo']['error'] === UPLOAD_ERR_OK) {
-        $ext = strtolower(pathinfo($_FILES['photo']['name'], PATHINFO_EXTENSION));
-        if (!in_array($ext, ['jpg','jpeg','png','gif','webp'])) $errors[] = 'Formato de foto inválido.';
+        // Tipo decidido pelo conteúdo, não pelo nome (config/functions_images.php).
+        $ext = upload_image_ext($_FILES['photo'], ['jpg','jpeg','png','gif','webp']);
+        if ($ext === null) $errors[] = 'Formato de foto inválido (JPG, PNG, GIF ou WebP).';
        else {
            $upload_dir = __DIR__ . '/../../../uploads/team/foto/';
            if (!is_dir($upload_dir)) @mkdir($upload_dir, 0775, true);
@@ -4,10 +4,11 @@ require __DIR__ . '/../../../config/functions.php';
 $user = require_admin();

 // Handle delete BEFORE any output
-if (isset($_GET['delete']) && is_numeric($_GET['delete'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
    csrf_check();
-    db_team_delete($pdo, (int) $_GET['delete']);
-    session()->setFlashdata('success', 'Membro apagado.');
+    db_team_delete($pdo, (int) $_POST['delete']);
+    session()->setFlashdata('success', 'Membro apagado — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/team/index.php'));
    exit;
 }
@@ -59,10 +60,10 @@ include __DIR__ . '/../../../includes/header.php';
                        <?php if ($item['deleted_at']): ?><span class="badge bg-danger ms-1">apagado</span><?php endif; ?></td>
                    <td>
                        <?php if ($item['deleted_at']): ?>
-                            <a class="btn btn-sm btn-outline-info" href="edit.php?id=<?= $item['id'] ?>&restore=1">Restaurar</a>
+                            <form method="POST" action="edit.php?id=<?= (int) $item['id'] ?>&amp;restore=1" class="d-inline"><?= csrf_field() ?><button class="btn btn-sm btn-outline-info" name="restore" value="1">Restaurar</button></form>
                        <?php else: ?>
                            <a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $item['id'] ?>"><i class="bi bi-pencil"></i></a>
-                            <a class="btn btn-sm btn-outline-danger" href="?delete=<?= $item['id'] ?>" onclick="return confirm('Apagar este membro?')"><i class="bi bi-trash"></i></a>
+                            <form method="POST" class="d-inline" onsubmit="return confirm('Apagar este membro?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $item['id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
                        <?php endif; ?>
                    </td>
                </tr>
@@ -0,0 +1,91 @@
+<?php
+require __DIR__ . '/../../../config/db.php';
+require __DIR__ . '/../../../config/functions.php';
+$user = require_admin();
+
+// Lixeira: tudo o que foi apagado no backoffice. Restaurar é sempre possível;
+// eliminar de vez só depois de TRASH_RETENTION_DAYS dias — trash_purge() volta
+// a verificar a data no próprio DELETE, por isso um POST forjado antes do prazo
+// não apaga nada.
+$types = trash_types();
+
+if ($_SERVER['REQUEST_METHOD'] === 'POST') {
+    csrf_check();
+    $type = (string) ($_POST['type'] ?? '');
+    $id   = (int) ($_POST['id'] ?? 0);
+    if (!isset($types[$type]) || $id < 1) {
+        session()->setFlashdata('error', 'Pedido inválido.');
+    } elseif (isset($_POST['restore'])) {
+        trash_restore($pdo, $type, $id)
+            ? session()->setFlashdata('success', $types[$type]['label'] . ' restaurado(a).')
+            : session()->setFlashdata('error', 'Não foi possível restaurar (já não está na lixeira?).');
+    } elseif (isset($_POST['purge'])) {
+        trash_purge($pdo, $type, $id)
+            ? session()->setFlashdata('success', $types[$type]['label'] . ' eliminado(a) definitivamente.')
+            : session()->setFlashdata('error', 'Só é possível eliminar de vez ao fim de ' . TRASH_RETENTION_DAYS . ' dias na lixeira.');
+    }
+    header('Location: ' . base_url('views/admin/trash/index.php'));
+    exit;
+}
+
+$items = trash_list($pdo);
+$page_title = 'Lixeira';
+include __DIR__ . '/../../../includes/header.php';
+?>
+<div class="container">
+    <div class="d-flex justify-content-between align-items-center mb-2">
+        <h1 class="h3 mb-0">Lixeira</h1>
+        <span class="badge bg-secondary"><?= count($items) ?></span>
+    </div>
+    <p class="text-muted small mb-4">
+        O que se apaga no backoffice fica aqui. Pode ser restaurado a qualquer momento;
+        só pode ser eliminado de vez depois de <?= (int) TRASH_RETENTION_DAYS ?> dias na lixeira.
+    </p>
+
+    <div class="card shadow-sm"><div class="card-body p-0">
+        <div class="table-responsive">
+        <table class="table table-hover align-middle mb-0">
+            <thead class="table-light"><tr>
+                <th>Tipo</th><th>Registo</th><th>Apagado em</th><th>Por</th><th class="text-end">Ações</th>
+            </tr></thead>
+            <tbody>
+            <?php if (!$items): ?>
+                <tr><td colspan="5" class="text-center text-muted py-4">A lixeira está vazia.</td></tr>
+            <?php else: foreach ($items as $it): ?>
+                <tr>
+                    <td class="small text-nowrap">
+                        <?= htmlspecialchars($it['label']) ?>
+                        <?php if ($it['personal']): ?><span class="badge bg-warning text-dark ms-1" title="Contém dados pessoais">RGPD</span><?php endif; ?>
+                    </td>
+                    <td><?= htmlspecialchars((string) $it['title']) ?></td>
+                    <td class="small text-nowrap"><?= htmlspecialchars(date('d/m/Y H:i', strtotime((string) $it['deleted_at']))) ?></td>
+                    <td class="small"><?= htmlspecialchars((string) ($it['deleted_by_name'] ?? '—')) ?></td>
+                    <td class="text-end text-nowrap">
+                        <form method="POST" class="d-inline">
+                            <?= csrf_field() ?>
+                            <input type="hidden" name="type" value="<?= htmlspecialchars($it['type']) ?>">
+                            <input type="hidden" name="id" value="<?= (int) $it['id'] ?>">
+                            <button class="btn btn-sm btn-outline-info" name="restore" value="1"><i class="bi bi-arrow-counterclockwise me-1"></i>Restaurar</button>
+                        </form>
+                        <?php if ($it['can_purge']): ?>
+                        <form method="POST" class="d-inline" onsubmit="return confirm('Eliminar de vez? Esta ação não pode ser desfeita.')">
+                            <?= csrf_field() ?>
+                            <input type="hidden" name="type" value="<?= htmlspecialchars($it['type']) ?>">
+                            <input type="hidden" name="id" value="<?= (int) $it['id'] ?>">
+                            <button class="btn btn-sm btn-outline-danger" name="purge" value="1"><i class="bi bi-x-octagon me-1"></i>Eliminar de vez</button>
+                        </form>
+                        <?php else: ?>
+                        <button class="btn btn-sm btn-outline-secondary" disabled
+                                title="Pode ser eliminado de vez daqui a <?= (int) $it['days_left'] ?> dia(s)">
+                            <i class="bi bi-hourglass-split me-1"></i><?= (int) $it['days_left'] ?> dia(s)
+                        </button>
+                        <?php endif; ?>
+                    </td>
+                </tr>
+            <?php endforeach; endif; ?>
+            </tbody>
+        </table>
+        </div>
+    </div></div>
+</div>
+<?php include __DIR__ . '/../../../includes/footer.php';
@@ -4,10 +4,11 @@ require __DIR__ . '/../../../config/functions.php';
 $user = require_admin();

 // Handle delete BEFORE any output
-if (isset($_GET['delete']) && is_numeric($_GET['delete'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
    csrf_check();
-    db_whours_delete($pdo, (int) $_GET['delete']);
-    session()->setFlashdata('success', 'Horário removido.');
+    db_whours_delete($pdo, (int) $_POST['delete']);
+    session()->setFlashdata('success', 'Horário removido — fica na lixeira 30 dias.');
    header('Location: ' . base_url('views/admin/work_hours/index.php'));
    exit;
 }
@@ -40,7 +41,7 @@ $dias = ['segunda'=>'Segunda','terça'=>'Terça','quarta'=>'Quarta','quinta'=>'Q
                    <td><?= htmlspecialchars(substr((string) $item['close'], 0, 5)) ?></td>
                    <td>
                        <a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $item['id'] ?>"><i class="bi bi-pencil"></i></a>
-                        <a class="btn btn-sm btn-outline-danger" href="?delete=<?= $item['id'] ?>" onclick="return confirm('Remover este dia?')"><i class="bi bi-trash"></i></a>
+                        <form method="POST" class="d-inline" onsubmit="return confirm('Remover este dia?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $item['id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
                    </td>
                </tr>
            <?php endforeach; endif; ?>