chore: 공개 저장소 전환 보안 강화 + README 재구성 (#11)

* chore: 공개 저장소 전환 보안 강화 + README 재구성

보안 리뷰 결과를 반영하여 회사 직원 로컬 사용에 안전하도록 강화.
README는 사용자가 보기 쉽도록 목차·기능별 anchor·보안 모델로 재구성.

## 보안 변경 (CRITICAL/HIGH 위주)

### 인프라 (docker-compose.yml)
- Postgres 호스트 포트 5432 노출 제거 (컨테이너 내부 네트워크만 사용)
  → LAN의 다른 장치에서 직접 DB 접근 불가
- App 포트 127.0.0.1:3000으로 바인딩 (LAN 노출 차단)
- DB 자격증명 fallback `:- meetingpass` 제거 → `:?` 강제 환경변수
  → .env 누락 시 명시적 에러로 실패 (기본 비밀번호 사용 위험 제거)

### 응답 헤더 (next.config.ts)
- X-Content-Type-Options: nosniff
- X-Frame-Options: DENY
- Referrer-Policy: strict-origin-when-cross-origin
- Permissions-Policy: camera=(), microphone=(self), ...

### 입력 검증
- /api/summarize: transcript 100,000자 상한 (이전 무제한)
- DOMPurify: FORBID_TAGS/ATTR ['style'] 추가 → 인라인 CSS 인젝션 차단

### 런타임 안전성
- src/lib/db.ts: DATABASE_URL 미설정 시 production에서 명시적 경고
  (build-time 빌드는 placeholder로 통과 유지)

### 사용자 안내 (UI)
- /settings 페이지: 공유 PC 경고 + Web Speech API 외부 송출 안내

## 문서

### 신규
- LICENSE (MIT)
- SECURITY.md (위협 모델 / 신뢰 모델 / 한계 / 신고 방법)

### README 재구성
- 4-line Quick Start 헤더
- 📑 목차 (anchor 점프)
- ✨ 주요 기능 7개 sub-section (각각 사용법/동작/제한)
- 🔒 보안 모델 섹션 추가 (공개 배포 권장 사항 명시)
- ⚠️ 알려진 제약 표 정리

### .env.example
- 강력한 비밀번호 생성 가이드 (openssl rand -base64 24)
- 필수/선택 명확히 구분

### docs/ROADMAP.md
- "보안 강화" 섹션 추가 (완료된 보안 조치 목록)

## 사용자 직접 조치 필요 (코드로 처리 불가)
- ⚠️ .env 파일에 발급된 Gemini API 키가 주석 처리되어 남아 있음
  Google AI Studio에서 폐기 후 .env에서 해당 줄 삭제 필요
- POSTGRES_PASSWORD를 강력한 임의 값으로 교체 (openssl rand -base64 24)
- 비밀번호 변경 시 docker compose down -v 후 재시작 (데이터 초기화)

## 검증
- 102 tests passing
- 보안 헤더 4종 적용 확인 (curl -sI)
- LAN IP에서 접근 시도 차단 확인 (192.168.x.x:3000 → 000)
- 127.0.0.1:3000 정상 동작 확인 (200)

## 보류된 항목 (문서화로 처리)
- M-1: Web Speech API의 음성 → Google 송출 (구조적 한계)
- M-2: npm audit 6건 (dev 의존성, 자동 수정 가능한 것 없음)
- H-3: 파일 업로드 매직 바이트 검증 (업로드 파일 미사용 상태)
- 인증 시스템: 단일 사용자 가정으로 비목표

* docs: 직원용 5분 시작 가이드 추가

EMPLOYEE_QUICKSTART.md에 직원 셋업 5분 가이드 작성:
- 한 번에 끝나는 setup 명령 (openssl로 강력한 비밀번호 자동 생성)
- 추천 사용 흐름 + 기능별 단축 액션
- 사내 정책 확인 안내 (음성 → Google 송출 명시)
- 단순 변환 모드(API 키 없음) 옵션 안내
- 자주 쓰는 docker 명령

README에서 직원/팀원 공유 시 가이드로 링크.

docs/ROADMAP.md

@@ -30,6 +30,31 @@
 
 ---
 
+## ✅ 보안 강화 — 공개 저장소 전환 준비 (완료)
+
+회사 직원이 각자 로컬에서 사용할 수 있도록 보안 검토 및 강화 작업.
+
+### 구현됨
+- [x] **C-1 대응**: 발급된 Gemini 키 `.env`에서 제거하도록 사용자 안내 (Google AI Studio 폐기 + .env 정리)
+- [x] **C-2 대응**: docker-compose의 DB 비밀번호 fallback 제거 → `:?` 강제 환경변수
+- [x] **C-3 대응**: Postgres 포트 `5432` 호스트 노출 제거 (컨테이너 내부 네트워크 전용)
+- [x] **H-1 대응**: App 포트 `127.0.0.1:3000`로 바인딩 (LAN 노출 차단)
+- [x] **H-2 대응**: `/api/summarize`에 transcript 100,000자 상한 추가
+- [x] **H-4 대응**: `next.config.ts`에 보안 응답 헤더 4종 적용
+- [x] **H-5 대응**: `/settings` 페이지에 공유 PC 경고 + Web Speech 외부 송출 안내 추가
+- [x] **H-6 대응**: `db.ts`에서 `DATABASE_URL` 누락 시 명시적 경고 로그
+- [x] **M-3 대응**: DOMPurify에 `FORBID_TAGS: ['style']`, `FORBID_ATTR: ['style']` 추가
+- [x] **문서화**: `SECURITY.md` 작성 (위협 모델, 신뢰 모델, 한계, 신고 방법)
+- [x] **MIT LICENSE** 추가
+
+### 확인됨 (현재 비목표)
+- M-1 (Web Speech → Google) — 구조적 한계, 문서화로 처리
+- M-2 (npm audit moderate 6건) — dev 의존성, 자동 수정 가능한 것 0건
+- H-3 (파일 업로드 매직 바이트) — 업로드된 파일 미사용/미서빙으로 위험 낮음
+- 인증 시스템 — 단일 사용자 가정 (의도된 비목표)
+
+---
+
 ## ✅ Phase 0.5 — 템플릿 + 강도 조절 (완료)
 
 사용자가 회의록 외 다양한 용도로 쓸 수 있도록 템플릿 시스템과 강도 조절 도입.