chore: server 보안 하드닝(rate limiting·JWT 서명 알고리즘 축소)

[pkdee]

정밀 감사(2026-06) 방어 깊이 묶음(현재 악용 가능 구멍 아님, 하드닝).

• rate limiting 도입: 무인증 OAuth 콜백·state 발급·/auth/me 등에 사용자/IP 제한(ACA 앞단 또는 Bucket4j).
• JWT 서명 알고리즘 축소: 불필요한 RS256 허용 제거, Supabase ES256 단독(global/security/SecurityConfig.kt).

인증 응답 에러 처리·JWKS 설정 강화 등 민감 항목은 private docs 추적 노트에 별도 기록(직접 패치 예정).

[pkdee]

S6(JWT 서명 ES256 단독)은 PR #48 에서 처리.

남은 S4(rate limiting)는 ACA 앞단 또는 Bucket4j 등 인프라/의존성 추가가 필요한 큰 작업이라 이 이슈에 남겨둠.