sec(docker): rodar o nginx sem root (USER nginx)

Svalinn/semgrep missing-user (CWE-250). A imagem rodava como root.

A premissa antiga da frota era que :80 obrigava root e que sair disso
exigiria porta alta + remapear o Traefik. Nao e mais verdade: o container
tem net.ipv4.ip_unprivileged_port_start=0 (default do Docker >= 20.10),
confirmado no proprio surtr, entao o uid 101 binda a :80 direto.

Verificado com a imagem construida deste Dockerfile:
  - `ps` dentro do container: master E workers como `nginx`, nenhum root
  - GET / e GET /health -> 200
  - (imagine-decor) o entrypoint segue escrevendo /etc/nginx/conf.d via sed,
    e a tranca `location /rest/ { return 404 }` continua respondendo 404

chown em /var/cache/nginx, /usr/share/nginx/html, /etc/nginx/conf.d e no
/var/run/nginx.pid — o que o nginx precisa escrever.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: claude

Dockerfile

@@ -13,6 +13,15 @@ RUN pnpm build
 FROM nginx:alpine
 COPY --from=build /app/site/dist /usr/share/nginx/html
 COPY site/nginx.conf /etc/nginx/conf.d/default.conf
+# ── Rodar sem root (Svalinn/semgrep missing-user, CWE-250) ───────────────────
+# Verificado no surtr: o container tem net.ipv4.ip_unprivileged_port_start=0
+# (default do Docker >= 20.10), entao o nginx BINDA a :80 como uid 101 — nao
+# foi preciso trocar de porta nem remapear o Traefik. Testado em nginx:alpine:
+# master E workers como `nginx`, GET / -> 200.
+RUN chown -R nginx:nginx /var/cache/nginx /usr/share/nginx/html /etc/nginx/conf.d \
+ && touch /var/run/nginx.pid && chown nginx:nginx /var/run/nginx.pid
+USER nginx
+
 EXPOSE 80
 HEALTHCHECK --interval=30s --timeout=4s --start-period=8s --retries=3 \
   CMD wget -qO- http://127.0.0.1/ >/dev/null 2>&1 || exit 1