Bach 운영 컨테이너 보안을 강화한다

백엔드는 내부 네트워크에만 두고 Docker 비밀 파일의 API 키를 프록시에서 주입한다. 프론트엔드는 루프백 포트 18102만 사용한다.

frontend/docker-entrypoint.d/20-backend-api-key.sh

@@ -0,0 +1,17 @@
+#!/bin/sh
+set -eu
+
+secret_file="${BACKEND_API_KEY_FILE:-/run/secrets/backend_api_key}"
+if [ ! -r "$secret_file" ]; then
+  echo "백엔드 인증 키 파일을 읽을 수 없습니다." >&2
+  exit 1
+fi
+
+backend_api_key="$(cat "$secret_file")"
+if [ -z "$backend_api_key" ]; then
+  echo "백엔드 인증 키가 비어 있습니다." >&2
+  exit 1
+fi
+
+escaped_key="$(printf '%s' "$backend_api_key" | sed 's/[\\/&]/\\\\&/g')"
+sed -i "s/__BACKEND_API_KEY__/${escaped_key}/g" /etc/nginx/conf.d/default.conf