fix(docker): corrige as vulnerabilidades da imagem final (apk upgrade; sem npm no runtime)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

Dockerfile

@@ -10,6 +10,9 @@ RUN npm run build
 
 # ── Imagem final: nginx sem privilégios (usuário nginx, porta 8080) e os estáticos ──
 FROM nginxinc/nginx-unprivileged:alpine
+# Aplica as correções de segurança do Alpine publicadas depois da imagem base.
+USER root
+RUN apk upgrade --no-cache
 COPY nginx.conf /etc/nginx/conf.d/default.conf
 COPY --from=build /app/dist /usr/share/nginx/html