Security: harden XSS and script CSP

[pedrobragabes]

Resumo

• substitui handlers e scripts inline por listeners externos, sem expor funcoes em window
• remove os sinks persistentes em produtos, perfil, seletor de lojas, modal, cards e popups do mapa
• troca imagens de background-image por <img>, valida coordenadas e mantem URLs de loja fora de codigo executavel
• remove 'unsafe-inline' de script-src no Express e aplica a mesma protecao de scripts nas paginas do host estatico
• atualiza o shell PWA para v12 e adiciona guards de regressao/payload malicioso

Escopo consciente

style-src 'unsafe-inline' permanece nesta PR para evitar uma refatoracao visual de mais de mil linhas. A remocao completa de estilos inline esta isolada na #43, no mesmo milestone v0.2.

Validacao local

• 16 modulos JavaScript: sintaxe valida
• 4 suites direcionadas: 20/20 testes
• npm run frontend:build e npm run frontend:check: 33 arquivos consistentes
• npm audit --omit=dev --audit-level=high: 0 vulnerabilidades
• QA no navegador: vitrine, busca, modal/favorito, imagens, mapa/popup, login e cadastro
• QA do frontend em host estatico separado: sem violacoes CSP

A suite completa com PostgreSQL fica a cargo do CI da PR.

Closes #23

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.