Naglowki bezpieczenstwa w nginx, wymagany sekret JWT na produkcji, npm ci

- security-headers.conf: nosniff, X-Frame-Options, Referrer-Policy, HSTS,
  Permissions-Policy i minimalny CSP; dolaczany w kazdym location z add_header,
  bez dublowania naglowkow Spring Security na /api/.
- docker-compose.prod.yml: APP_JWT_SECRET bez wartosci domyslnej - brak zmiennej
  zatrzymuje wdrozenie zamiast startu z jawnym sekretem.
- Obraz frontendu budowany przez npm ci z package-lock.json.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

nginx/default.conf

@@ -14,6 +14,8 @@ server {
     root /usr/share/nginx/html;
     index index.html;
 
+    include /etc/nginx/snippets/security-headers.conf;
+
     # Wbudowany DNS Dockera - potrzebny, bo proxy_pass ze zmienna ($listing_id) rozwiazuje host
     # "backend" dopiero przy zadaniu, a nie przy starcie nginx.
     resolver 127.0.0.11 ipv6=off valid=30s;
@@ -25,6 +27,10 @@ server {
         proxy_set_header X-Real-IP $remote_addr;
         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
         proxy_set_header X-Forwarded-Proto $scheme;
+        # Te naglowki ustawia security-headers.conf. Spring Security dodaje wlasne - zdublowane,
+        # sprzeczne X-Frame-Options przegladarka moze uznac za nieprawidlowe i zignorowac.
+        proxy_hide_header X-Frame-Options;
+        proxy_hide_header X-Content-Type-Options;
     }
 
     # Szczegoly ogloszenia: crawler dostaje serwerowy podglad Open Graph, czlowiek - aplikacje SPA.
@@ -32,6 +38,8 @@ server {
         if ($pl_is_crawler) {
             proxy_pass http://backend:8080/api/og/listing/$listing_id;
         }
+        proxy_hide_header X-Frame-Options;
+        proxy_hide_header X-Content-Type-Options;
         try_files $uri /index.html;
     }
 
@@ -39,12 +47,14 @@ server {
     location /assets/ {
         try_files $uri =404;
         add_header Cache-Control "public, max-age=31536000, immutable";
+        include /etc/nginx/snippets/security-headers.conf;
     }
 
     # index.html nigdy nie moze byc cache'owany - inaczej przegladarka po wdrozeniu
     # nadal laduje stary bundle i uzytkownik pracuje na nieaktualnej wersji aplikacji.
     location = /index.html {
         add_header Cache-Control "no-store, must-revalidate";
+        include /etc/nginx/snippets/security-headers.conf;
     }
 
     location / {