Naglowki bezpieczenstwa w nginx, wymagany sekret JWT na produkcji, npm ci

- security-headers.conf: nosniff, X-Frame-Options, Referrer-Policy, HSTS, Permissions-Policy i minimalny CSP; dolaczany w kazdym location z add_header, bez dublowania naglowkow Spring Security na /api/. - docker-compose.prod.yml: APP_JWT_SECRET bez wartosci domyslnej - brak zmiennej zatrzymuje wdrozenie zamiast startu z jawnym sekretem. - Obraz frontendu budowany przez npm ci z package-lock.json. Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
2026-09-23 14:12:52 +02:00
parent ac7a3a4efb
commit a6c2378cbc
4 changed files with 35 additions and 5 deletions
@@ -35,9 +35,10 @@ services:
      APP_ADMIN_NAME: ${APP_ADMIN_NAME:-Administrator Polska Lokalnie}
      # true = przy starcie ustaw haslo administratora na APP_ADMIN_PASSWORD (odzyskanie dostepu).
      APP_ADMIN_RESET_PASSWORD: ${APP_ADMIN_RESET_PASSWORD:-false}
-      # Sekret podpisujacy tokeny sesji. Domyslna wartosc jest jawna w repozytorium - w produkcji
-      # musi byc wlasna, inaczej kazdy moze wystawic sobie token administratora.
-      APP_JWT_SECRET: ${APP_JWT_SECRET:-local-dev-secret-change-me-please-32chars-min}
+      # Sekret podpisujacy tokeny sesji - bez wartosci domyslnej. Gdyby .env.production sie nie
+      # wczytal, wdrozenie ma sie zatrzymac, a nie wystartowac z jawnym sekretem z repozytorium
+      # (z nim kazdy moglby wystawic sobie token administratora).
+      APP_JWT_SECRET: ${APP_JWT_SECRET:?Brak APP_JWT_SECRET w .env.production}
      APP_PUBLIC_BASE_URL: ${APP_PUBLIC_BASE_URL:-http://localhost}
    depends_on:
      db: