정합성·보안·인덱스 개선

- health/시작 로그 버전을 package.json 기준으로 동적화
- express-rate-limit으로 로그인·이메일 쓰기 요청 IP 기준 제한, trust proxy 설정
- nginx 보안 헤더(nosniff·X-Frame-Options·Referrer-Policy) 추가
- 공개 덱 목록용 복합 인덱스 추가
- 서버 페이지네이션은 후속 과제로 todo에 기록

Co-authored-by: Cursor <cursoragent@cursor.com>

api/src/index.js

@@ -1,6 +1,7 @@
 import 'dotenv/config';
 import express from 'express';
 import cors from 'cors';
+import fs from 'fs';
 import path from 'path';
 import { fileURLToPath } from 'url';
 import { initDb, seedAdmin } from './db.js';
@@ -12,6 +13,21 @@ const __dirname = path.dirname(fileURLToPath(import.meta.url));
 const PORT = Number(process.env.PORT) || 3000;
 const DB_PATH = process.env.DB_PATH || path.join(__dirname, '..', 'data', 'uadeck.db');
 
+/**
+ * package.json에서 서비스 버전을 읽는다. (실패 시 'unknown')
+ * @returns {string}
+ */
+function readAppVersion() {
+    try {
+        const pkgRaw = fs.readFileSync(path.join(__dirname, '..', 'package.json'), 'utf-8');
+        return JSON.parse(pkgRaw).version || 'unknown';
+    } catch {
+        return 'unknown';
+    }
+}
+
+const APP_VERSION = readAppVersion();
+
 if (!process.env.DATAS_PATH) {
     process.env.DATAS_PATH = path.join(__dirname, '..', '..', 'datas');
 }
@@ -21,6 +37,9 @@ seedAdmin(db);
 
 const app = express();
 
+// nginx 프록시 1홉 뒤에서 실행 → rate limit이 실제 클라이언트 IP(X-Forwarded-For)를 쓰도록
+app.set('trust proxy', 1);
+
 const corsOrigins = process.env.CORS_ORIGINS
     ? process.env.CORS_ORIGINS.split(',').map((o) => o.trim())
     : true;
@@ -29,7 +48,7 @@ app.use(cors({ origin: corsOrigins, credentials: true }));
 app.use(express.json({ limit: '20mb' }));
 
 app.get('/api/v1/health', (_req, res) => {
-    res.json({ ok: true, version: '4.0.16' });
+    res.json({ ok: true, version: APP_VERSION });
 });
 
 app.use('/api/v1/auth', createAuthRouter(db));
@@ -47,7 +66,7 @@ app.use((err, _req, res, _next) => {
 });
 
 app.listen(PORT, () => {
-    console.log(`UNIARE API v4.0.16 listening on :${PORT}`);
+    console.log(`UNIARE API v${APP_VERSION} listening on :${PORT}`);
     console.log(`DB: ${DB_PATH}`);
     console.log(`DATAS: ${process.env.DATAS_PATH || '(default ../datas)'}`);
 });