feat: self-hosted frontend JS (offline) + docker hardening

- Vendored epub.js/pdf.js+worker/JSZip/DOMPurify in static/vendor/
- reader.html/reader.js servono i JS da /static (niente CDN, offline-ready)
- CSP: rimosse allowlist CDN, aggiunto worker-src 'self' blob:
- Test CSP aggiornati; tutti 16 verdi; verificato smoke test offline in container

.env.example

@@ -0,0 +1,13 @@
+BOOKISH_SECRET=cambia-questa-chiave-lunga-e-casuale
+PORT=5000
+BOOKISH_CLEANUP_HOURS=1
+# Gunicorn: solo se dietro reverse proxy che imposta X-Forwarded-For.
+# (lista separata da virgole, es. 127.0.0.1,172.17.0.1)
+# FORWARDED_ALLOW_IPS=127.0.0.1
+
+# AUTENTICAZIONE OPTIONAL (Basic) — attiva se entrambe valorizzate
+#BOOKISH_AUTH_USERNAME=admin
+#BOOKISH_AUTH_PASSWORD=cambia-me
+
+# RATE LIMIT upload per IP/ora (0 = disabilitato, default 20)
+#BOOKISH_RATE_LIMIT_UPLOAD=20