fix(security): resolve 36 security audit issues

[ElioNeto]

Summary

This PR resolves 36 security audit issues identified in the ApexStore security audit report.

Changes

Security (Batch 1)

• C-01 (C-01: Autenticação desabilitada por padrão — API pública sem auth #324): Enable authentication by default
• C-02 (C-02: CORS permissivo — Cors::permissive() permite qualquer origem #325): Restrict CORS to configured origins
• C-03 (C-03: Payload máximo de 50MB — risco de exaustão de memória #326): Reduce max payload to 1MB
• M-01 (M-01: Workers = auto (CPU cores) — contenção alta no lock do engine #337): Set workers=4 instead of auto

API Security (Batch 2)

• H-01 (H-01: N+1 query no endpoint /scan — 1 + N chamadas ao engine #329): Fix N+1 query in /scan endpoint
• H-02 (H-02: Batch insert sem limite de tamanho — DoS via batch gigante #330): Add batch size limit
• INPUT-VAL-001 (INPUT-VAL-001: Sem limite de tamanho de chave (key) ou valor (value) — OOM via chave/valor gigante #353): Key/value size limits
• H-05 (H-05: Rate limiter com Mutex global — gargalo de concorrência #333): Shard rate limiter to reduce contention
• RATE-LIMIT-001 (RATE-LIMIT-001: Endpoints admin (/admin/flush, /admin/compact) sem rate limit específico #354): Add rate limits to admin endpoints

Web/API Hardening (Batch 3)

• C-05 (C-05: CDC Webhook sem autenticação, retry ou timeout #328): Add auth/retry/timeout to CDC webhook
• H-03 (H-03: GraphQL Playground e IDE acessível em produção #331): Guard GraphQL playground behind auth
• H-04 (H-04: WebSocket /ws/sync sem autenticação — vazamento de dados em tempo real #332): Require auth for WebSocket /ws/sync
• H-06 (H-06: IdempotencyMiddleware existe mas não está integrado ao servidor #334): Wire IdempotencyMiddleware into server

Security Posture (Batch 4)

• ENCRYPTION-001 (ENCRYPTION-001: Criptografia em repouso existe mas é opcional e desabilitada por padrão #364): Enable encryption by default
• H-07 (H-07: Variáveis de ambiente sem validação — valores inválidos silenciosamente ignorados #335): Log config validation warnings at startup
• WAL-FSYNC-001 (WAL-FSYNC-001: WAL_SYNC_INTERVAL hardcoded — RPO não configurável #365): Make WAL sync interval configurable
• M-10 (M-10: Sem cargo audit no CI — vulnerabilidades em dependências não detectadas #346): Add cargo audit to CI
• M-02 (M-02: Ausência de proteção CSRF na API #338): Add CSRF ContentTypeGuard middleware
• M-03 (M-03: Token timing attack parcial — comparação de tamanho vaza informação #339): Verified constant-time token comparison

Resilience & Observability (Batch 5)

• IO-DISK-001 (IO-DISK-001: Disco cheio não ativa modo ReadOnly automaticamente — corrupção de dados #358): Connect DegradationManager to Engine
• BACKPRESSURE-001 (STARVATION-001: Lock único (Mutex) no engine serializa leituras e escritas — starvation de readers #361): Wire CompactionBackpressure into Engine
• L-05 (L-05: Métrica de write amplification não exposta no Prometheus #352): Add write amplification Prometheus metric
• L-04 (L-04: Health checks não verificam dependências externas (CDC, OTLP, disco) #351): Add comprehensive /health/check endpoint
• INPUT-VAL-002 (INPUT-VAL-002: API aceita chaves não-UTF8 — perda de dados silenciosa com String::from_utf8_lossy #355): Validate key sizes in API handlers
• FS-PERM-001 (FS-PERM-001: Arquivos de dados criados com permissões 0644 (world-readable) #356): Set 0600/0700 perms on data files
• OBSERV-003 (OBSERV-003: Logging sem request-id tracking — correlação entre logs difícil #369): Structured JSON logging with request-id

Audit, Degradation, Rate Limits (Batch 6)

• M-05 (M-05: retry_with_backoff usa std::thread::sleep bloqueante — starvation potencial #341): Make retry_with_backoff async (non-blocking)
• M-07 (M-07: Falta de auditoria — access log não registra principal nem recurso #343): Add AuditMiddleware for structured audit events
• M-08 (M-08: DegradationManager não integrado com handlers da API — writes continuam com disco cheio #344): Add DegradationManager checks to write handlers
• M-09 (M-09: Sem limite de conexões simultâneas por IP — um IP pode exaurir file descriptors #345): Configurable per-IP connection limit
• OBSERV-002 (OBSERV-002: CDC sem métricas de latência e taxa de erro do webhook #366): Add success/failure counters to CDC

Dashboard & Metrics (Batch 7)

• L-02 (L-02: Admin dashboard usa location.reload() em vez de fetch() — flash visual #349): Replace location.reload() with fetch()
• L-03 (L-03: Endpoints de API duplicados (POST /keys e PUT /keys/{key}, GET /stats/all e GET /stats) #350): Add deprecation headers to duplicate endpoint
• READ-AMP-001 (READ-AMP-001: Leitura pode tocar múltiplos níveis L0..Ln — métrica de read amplification não exposta #370): Add read amplification metric
• BENCH-001 (BENCH-001: Benchmarks não têm regression gates no CI — regressões passam despercebidas #368): Add benchmark job to CI

Verified

• cargo check --all-features — passes
• cargo clippy --all-targets --all-features -- -D warnings — passes
• cargo test --all-features — 550/552 pass (2 flaky benchmark latency tests)

Remaining Issues

The following 14 remaining issues are not addressed in this PR and will be handled separately:

• C-04, DB-04, L-01, CRASH-SST-001, IO-READ-001, STARVATION-001, WRITE-SERIAL-001, WRITE-WAL-001, MEM-MEMTABLE-002, TEST-001/002/003