Migratie naar 2-container opzet (app + database)

De Express-app serveert nu zelf de gebouwde Vite-frontend op / met een
SPA-fallback naar index.html; de aparte nginx-container is vervallen.
Bedoeld voor self-hosting op een Raspberry Pi: één image, één origin,
geen interne proxy en geen CORS tussen frontend en API.

Docker
- Nieuwe multi-stage Dockerfile in de root met targets test, development
  en production; frontend/Dockerfile, frontend/nginx-spa.conf en
  backend/Dockerfile verwijderd
- docker-compose.yml: alleen app + postgres, app publiceert APP_PORT
  (standaard 3400) naar containerpoort 3001
- docker-compose.dev.yml: dev-container draait API (node --watch) en de
  Vite dev-server samen via docker/dev-entrypoint.sh, hot reload intact
- .dockerignore, .env.example, .gitignore en .gitattributes toegevoegd

Backend
- express.static + SPA-fallback op STATIC_DIR (default /app/public), met
  immutable caching voor gehashte assets en no-store voor index.html
- Rate limiting alleen nog op /api — statische bestanden liepen anders na
  200 requests tegen de limiet aan
- Helmet CSP toegespitst op wat de frontend laadt (Google Fonts, inline
  styles, base64-avatars); upgrade-insecure-requests uit voor intern http
- Schema-init verplaatst naar initDb(), niet meer bij import van db.js

Tests en CI/CD
- backend/test/app.test.js: 11 tests (node --test) voor API-routes,
  SPA-fallback, cache- en security-headers, zonder database
- test.ps1 / test.sh: backend-tests, productiebuild en smoketest op de
  echte app + postgres stack
- azure-pipelines.yml: Test -> Build (incl. smoketest) -> Publish
  (multi-arch amd64 + arm64, alleen op main/master of een tag)

Scripts en documentatie
- dev.ps1/dev.sh met targets app en postgres, acties logs en test;
  dev.ps1 up wist de dev-database niet langer (alleen dev.ps1 down)
- release.ps1/release.sh bouwen één image voor amd64 + arm64 en draaien
  de testsuite vóór het publiceren
- README.md en BEHEER.md bijgewerkt voor de nieuwe structuur

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

release.sh

@@ -1,12 +1,14 @@
 #!/usr/bin/env bash
 # ── VibeFinance release wrapper (macOS/Linux) ────────────────────────────
-# Roept release.ps1 aan via PowerShell Core (pwsh).
+# Roept release.ps1 aan via PowerShell Core (pwsh). Bouwt één app-image
+# (API + frontend) voor amd64 en arm64.
 #
 # Gebruik:
-#   ./release.sh              # bouw + push images + Git-tag
-#   ./release.sh -NoBuild     # sla docker build over, alleen Git-tag
+#   ./release.sh              # test + bouw + push + Git-tag + Gitea-release
+#   ./release.sh -NoBuild     # sla docker build over, alleen tag + release
+#   ./release.sh -SkipTests   # sla de testsuite over (niet aanbevolen)
 #   ./release.sh -DryRun      # toon alle commando's zonder iets uit te voeren
-#   ./release.sh -Force       # sla conflictcontrole over, overschrijf bestaande tags
+#   ./release.sh -Force       # sla conflictcontrole over, overschrijf tags
 #
 # Combinaties:
 #   ./release.sh -Force -NoBuild
@@ -14,9 +16,9 @@
 #
 # Vereisten:
 #   - pwsh (PowerShell Core) geïnstalleerd: brew install powershell
-#   - Docker Desktop actief
+#   - Docker actief
 #   - docker buildx builder actief: docker buildx create --use
-#   - Ingelogd op de registry: docker login vibetea.vldn.net
+#   - Ingelogd op de registry: docker login vibehoogie.duckdns.org
 #   - Git geïnstalleerd
 #   - root package.json bevat versienummer ZONDER -dev suffix
 #   - GITEA_TOKEN in de omgeving (token met release-rechten) — nodig voor het
@@ -31,7 +33,6 @@ if ! command -v pwsh &>/dev/null; then
     exit 1
 fi
 
-# Geef alle argumenten door aan het .ps1 script
 pwsh -NoProfile -ExecutionPolicy Bypass \
     -File "$SCRIPT_DIR/release.ps1" \
     "$@"