fix(segurança): lixeira de 30 dias, CSRF em todas as ações, IP real, sessão e uploads

Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html).

Lixeira
- Tudo o que é importante passa a soft delete (deleted_at + deleted_by):
  equipa, modalidades, eventos, mensalidades, galerias, imagens, horário,
  horas de funcionamento, inscrições em eventos e pedidos de inscrição.
- config/functions_trash.php: um registo por tipo; apagar, restaurar, listar
  e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira —
  a condição está no WHERE do DELETE, um POST forjado não apaga nada.
- Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e
  quando, restauro a qualquer momento.
- Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para
  .trash/ (negado pelo .htaccess) e volta no restauro.
- As listagens e o site público filtram deleted_at (horário também filtra
  modalidades apagadas). Migração: database/migration_20260925_trash.sql
  (só acrescenta colunas; tem de ser aplicada antes deste código).

CSRF
- csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía
  sem verificar nada em GET, e dez ações de apagar/restaurar eram GET.
- Os dez handlers passaram a POST com token; links viraram formulários.

Autenticação e sessão
- client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado
  com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global).
- Throttle também por conta (hash do email), além do IP.
- Sem oráculo de tempo: login verifica contra um hash de referência quando
  a conta não existe; a recuperação deixa o email na fila.
- Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode.
- Definições de sistema só para sysadmin; autocomplete=username.

Servidor e uploads
- .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy,
  CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais
  _*.php, PHP soltos do platform-tools e *.md; 404 própria.
- Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts,
  handlers on*=, foreignObject ou hrefs externos.

Testado numa cópia da BD de produção (fitme_audit_test) com um contentor
temporário: 34/34 verificações HTTP ponta-a-ponta.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

views/auth/forgot_password.php

@@ -40,7 +40,8 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
                 (string) $user['name'],
                 (string) $user['email'],
                 base_url('views/auth/reset_password.php?token=' . $token),
-                (int) $user['id']
+                (int) $user['id'],
+                false   // fica na fila: o tempo de resposta não pode denunciar a conta
             );
         }
         // Same message either way.
@@ -59,8 +60,8 @@ include __DIR__ . '/../../includes/auth_header.php';
 
 <?php if ($sent): ?>
     <div class="alert alert-success py-2 small">
-        Se existir uma conta com esse email, enviámos-lhe as instruções.
-        O link é válido durante 2 horas.
+        Se existir uma conta com esse email, vai receber as instruções
+        nos próximos minutos. O link é válido durante 2 horas.
     </div>
     <a href="<?= htmlspecialchars(base_url('views/auth/login.php')) ?>" class="btn btn-outline-secondary w-100">Voltar ao login</a>
 <?php else: ?>

views/auth/login.php

@@ -37,11 +37,16 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
 
     // Counts successes too, so a guessed password can't be parlayed into
     // stuffing the rest of the user list from the same IP.
-    if (!throttle_check($pdo, 'login')) {
+    // Dois limites: por IP (5/min, 30/h) e por conta (10/min, 50/h). O da conta
+    // apanha um ataque distribuído a um só email; é mais largo para que um
+    // estranho não consiga trancar o dono com meia dúzia de tentativas.
+    $acct = throttle_account_key((string) ($_POST['email'] ?? ''));
+    if (!throttle_check($pdo, 'login') || !throttle_check($pdo, 'login_acct', 10, 50, $acct)) {
         $report_login('login_throttled');
         throttle_block('login form');
     }
     throttle_record($pdo, 'login');
+    throttle_record($pdo, 'login_acct', $acct);
 
     $user = auth_login($pdo, $_POST['email'] ?? '', $_POST['password'] ?? '');
     if ($user) {
@@ -89,7 +94,7 @@ include __DIR__ . '/../../includes/auth_header.php';
     <div class="mb-3">
         <label class="form-label" for="login-email">Email</label>
         <input type="email" id="login-email" name="email" class="form-control" required autofocus
-               autocomplete="email" inputmode="email"
+               autocomplete="username" inputmode="email"
                value="<?= htmlspecialchars($_POST['email'] ?? '') ?>">
     </div>
     <div class="mb-4">