Security-хардening: XSS в никах, non-root контейнер, rate-limiting, спавн-фикс

Клиент: ники других игроков рендерились через innerHTML без экранирования — XSS.
Добавлен escapeHtml() для nickname и в списке игроков комнаты.

Сервер:
- Санитайзинг ника и на бэкенде (обрезка длины, вырезание control/HTML
  символов) — защита не только для этого клиента, но и для любых будущих
  потребителей (логи, другие рендеры).
- onMessage обёрнут в try/catch: payload.value<T>() кидает json::type_error
  на несовпадении типа поля — одно кривое сообщение могло уронить процесс
  со всеми активными играми.
- Лимит на общее число комнат (200) — иначе клиент, спамящий
  lobby.create_room, разгонял rooms_ до исчерпания памяти.
- Fix: одна из раскладок coop-карты клала укрытие поверх стартовой позиции
  игрока — танк рождался внутри кирпича и не мог выехать. Тайл под каждым
  стартовым танком теперь расчищается после построения карты.

Docker: gameserver теперь работает от непривилегированного пользователя,
а не от root.

nginx: rate-limiting на /ws (5 подключений/с на IP, до 20 одновременных) —
защита от флуда соединениями/комнатами; CSP и security-заголовки
(X-Content-Type-Options, X-Frame-Options, Referrer-Policy).

gameserver/src/Lobby.hpp

@@ -46,6 +46,9 @@ public:
 
 private:
     static constexpr size_t kMaxPlayersPerRoom = 2;
+    // Верхняя граница на общее число комнат — без неё клиент, создающий и не
+    // покидающий комнаты, мог бы разогнать rooms_ до исчерпания памяти.
+    static constexpr size_t kMaxRooms = 200;
 
     std::unordered_map<std::string, Room> rooms_;
     std::unordered_map<std::string, std::unique_ptr<Game>> games_;