Ristruttura il deploy: immagine autosufficiente per Dokploy

Il Dockerfile compilava l'applicazione in /app-src mentre il runtime girava
da /var/www/html, popolato solo dal bind mount del sorgente: l'immagine
costruita non veniva mai usata. L'entrypoint rieseguiva composer install e
npm run build a ogni avvio, dentro il container. Su Dokploy, senza sorgente
sull'host, questo significava build a runtime a ogni deploy.

Ora vendor/ e public/build sono compilati in stage separati e copiati
nell'immagine finale. I container di produzione non montano il sorgente e
non eseguono build all'avvio: un redeploy e' build, migrazioni, online.

- Dockerfile multi-stage (composer, node, runtime)
- nginx e php-fpm nello stesso container via supervisor: con container
  separati nginx avrebbe bisogno di una copia di public/ e del volume
  storage solo per servire file statici
- clear_env = no in www.conf, senza cui php-fpm nasconde a Laravel tutte
  le variabili d'ambiente
- configurazione da ambiente di processo invece di .env riscritto con sed;
  il compose fissa solo i valori dettati dalla topologia
- fail-fast su APP_URL, DB_PASSWORD, DB_ROOT_PASSWORD, REDIS_PASSWORD
- servizio scheduler dedicato: schedule:work non veniva mai eseguito,
  quindi la pulizia dell'audit log non e' mai partita
- solo il container app esegue le migrazioni, per evitare che due
  container in gara lascino uno schema applicato a meta'
- healthcheck separati per worker e scheduler, che non espongono HTTP
- docker-compose.dev.yml per lo sviluppo locale
- documentazione unificata in README.md e HANDOFF.md

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docker/php/www.conf

@@ -1,7 +1,10 @@
 [www]
 user = www-data
 group = www-data
-listen = 0.0.0.0:9000
+
+; nginx now runs in the same container, so php-fpm no longer needs to be
+; reachable from the network. Binding to loopback removes that exposure.
+listen = 127.0.0.1:9000
 listen.owner = www-data
 listen.group = www-data
 
@@ -11,3 +14,15 @@ pm.start_servers = 4
 pm.min_spare_servers = 2
 pm.max_spare_servers = 6
 pm.max_requests = 500
+
+; Surface worker output in `docker logs` instead of swallowing it.
+catch_workers_output = yes
+decorate_workers_output = no
+
+; php-fpm sanitizes the environment by default, which would hide every Dokploy
+; env var from Laravel. clear_env=no is what makes config-from-env work.
+clear_env = no
+
+; Log slow requests (PDF import/generation) to help diagnose timeouts.
+slowlog = /proc/self/fd/2
+request_slowlog_timeout = 30s