feat: marketplace modules and isolated container management

docker/nginx/nginx.conf

@@ -1,12 +1,13 @@
 # =============================================================
 # MPM – Reverse Proxy (Nginx)
-# Läuft als unprivilegierter Benutzer "app" auf Port 8080.
+# Master has restricted capabilities; workers run as unprivileged user app.
 # - /            -> Management-Frontend (SPA, statische Dateien)
 # - /api/        -> Management-Backend (127.0.0.1:3000)
 # Ab Phase 4 werden hier dynamisch Modul-Routen (/slug) ergänzt.
 # =============================================================
 
 worker_processes auto;
+user app;
 pid /tmp/nginx.pid;
 error_log /dev/stderr warn;
 
@@ -92,4 +93,4 @@ http {
       try_files $uri $uri/ /index.html;
     }
   }
-}
+}