fix(segurança): lixeira de 30 dias, CSRF em todas as ações, IP real, sessão e uploads

Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html).

Lixeira
- Tudo o que é importante passa a soft delete (deleted_at + deleted_by):
  equipa, modalidades, eventos, mensalidades, galerias, imagens, horário,
  horas de funcionamento, inscrições em eventos e pedidos de inscrição.
- config/functions_trash.php: um registo por tipo; apagar, restaurar, listar
  e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira —
  a condição está no WHERE do DELETE, um POST forjado não apaga nada.
- Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e
  quando, restauro a qualquer momento.
- Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para
  .trash/ (negado pelo .htaccess) e volta no restauro.
- As listagens e o site público filtram deleted_at (horário também filtra
  modalidades apagadas). Migração: database/migration_20260925_trash.sql
  (só acrescenta colunas; tem de ser aplicada antes deste código).

CSRF
- csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía
  sem verificar nada em GET, e dez ações de apagar/restaurar eram GET.
- Os dez handlers passaram a POST com token; links viraram formulários.

Autenticação e sessão
- client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado
  com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global).
- Throttle também por conta (hash do email), além do IP.
- Sem oráculo de tempo: login verifica contra um hash de referência quando
  a conta não existe; a recuperação deixa o email na fila.
- Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode.
- Definições de sistema só para sysadmin; autocomplete=username.

Servidor e uploads
- .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy,
  CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais
  _*.php, PHP soltos do platform-tools e *.md; 404 própria.
- Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts,
  handlers on*=, foreignObject ou hrefs externos.

Testado numa cópia da BD de produção (fitme_audit_test) com um contentor
temporário: 34/34 verificações HTTP ponta-a-ponta.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

views/admin/galerias/edit.php

@@ -45,10 +45,11 @@ if (isset($_POST['optimize'])) {
 }
 
 // Delete image
-if (isset($_GET['del_img']) && is_numeric($_GET['del_img'])) {
+// POST + CSRF: um link GET podia ser disparado a partir de outro site.
+if (isset($_POST['del_img']) && is_numeric($_POST['del_img'])) {
     csrf_check();
-    db_gallery_image_delete($pdo, (int) $_GET['del_img'], $id);
-    session()->setFlashdata('success', 'Imagem removida.');
+    db_gallery_image_delete($pdo, (int) $_POST['del_img'], $id);
+    session()->setFlashdata('success', 'Imagem removida — fica na lixeira 30 dias.');
     header('Location: ' . base_url('views/admin/galerias/edit.php?id=' . $id));
     exit;
 }
@@ -112,10 +113,11 @@ include __DIR__ . '/../../../includes/header.php';
                     <div class="col-6 col-lg-4 position-relative">
                         <img src="<?= base_url('uploads/gallery/' . $id . '/' . $img['i_file_name']) ?>"
                              alt="" class="img-thumbnail w-100" style="height:140px;object-fit:cover;" loading="lazy">
-                        <a class="btn btn-sm btn-danger position-absolute top-0 end-0 m-1 rounded-circle"
-                           href="?id=<?= $id ?>&del_img=<?= $img['i_id'] ?>"
-                           onclick="return confirm('Remover esta imagem?')"
-                           style="width:28px;height:28px;display:flex;align-items:center;justify-content:center;font-size:12px">&times;</a>
+                        <form method="POST" class="position-absolute top-0 end-0 m-1" onsubmit="return confirm('Remover esta imagem? Fica na lixeira durante 30 dias.')">
+                            <?= csrf_field() ?>
+                            <button class="btn btn-sm btn-danger rounded-circle" name="del_img" value="<?= (int) $img['i_id'] ?>" aria-label="Remover imagem"
+                                    style="width:28px;height:28px;display:flex;align-items:center;justify-content:center;font-size:12px">&times;</button>
+                        </form>
                     </div>
                 <?php endforeach; ?>
                 </div>