Naglowki bezpieczenstwa w nginx, wymagany sekret JWT na produkcji, npm ci

- security-headers.conf: nosniff, X-Frame-Options, Referrer-Policy, HSTS,
  Permissions-Policy i minimalny CSP; dolaczany w kazdym location z add_header,
  bez dublowania naglowkow Spring Security na /api/.
- docker-compose.prod.yml: APP_JWT_SECRET bez wartosci domyslnej - brak zmiennej
  zatrzymuje wdrozenie zamiast startu z jawnym sekretem.
- Obraz frontendu budowany przez npm ci z package-lock.json.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

nginx/Dockerfile

@@ -1,8 +1,10 @@
 FROM node:22-alpine AS frontend-build
 WORKDIR /app
 
-COPY frontend/package.json ./
-RUN npm install
+# Instalacja dokladnie wersji z package-lock.json - bez lockfile'a kazde wdrozenie moglo dociagnac
+# inne (w tym podmienione) wersje zaleznosci.
+COPY frontend/package.json frontend/package-lock.json ./
+RUN npm ci
 
 COPY frontend/ ./
 RUN npm run build
@@ -10,6 +12,7 @@ RUN npm run build
 FROM nginx:1.27-alpine
 
 COPY nginx/default.conf /etc/nginx/conf.d/default.conf
+COPY nginx/security-headers.conf /etc/nginx/snippets/security-headers.conf
 COPY --from=frontend-build /app/dist /usr/share/nginx/html
 
 EXPOSE 80