feat(docker): 대용량 첨부 — ClamAV 검사기 · 공개 내려받기 호스트 · 받기 동시 연결 상한

- ClamAV 1.4.6 LTS 를 둘로 나눴다: clamd 는 백엔드와만 닿는 internal 네트워크(바깥 길 없음 · 서명 볼륨 읽기 전용),
  freshclam 은 자기 바깥 길에만. 비-root · cap_drop ALL. 운영은 늘 뜨고 개발은 profile clamav.
  clamd.conf 는 한 파일 한도 2047M 까지 끝까지 검사하고 암호 · 한도 초과를 판정으로 알린다(실측표는 mail/README).
  검사 중에 죽으면 남던 임시 파일을 띄울 때 지운다.
- nginx 를 포털 · 공개 내려받기(files.) 두 server 로 가른다(SHARE_PUBLIC_URL 과 CORS_ORIGIN 의 호스트 비교 — 같으면 포털이 함께 연다).
  조각 PUT 17m, 받기는 버퍼링 · 압축 끔 + X-Accel-Buffering 넘김 + 머리글 버퍼 16k,
  limit_conn 은 X-Forwarded-For 마지막 칸으로 IP 마다 공개 10 · 앱 안 30, 전체 공개 400 · 앱 안 200.
  받기 location 은 /api/ 블록 안의 대소문자를 가리지 않는 정규식이다(리뷰 — /FILES/ 같은 변형이 상한을 비켜 갔다).
  접근 로그는 경로 모양과 43자 토큰 모양으로 토큰을 가린다.
- 파일은 named volume <PROJECT_NAME>_files(개발도 — builder 단계가 /app/files 를 node 소유로 만든다), 백업하지 않는다.
- CI infra 잡: nginx 두 꼴 · 받기 경로 변형 시험(가짜 백엔드) · clamconf(-n 없이 기본값까지) · 틀린 SHARE_PUBLIC_URL 거부.
- mail/README: 악성 검사 · 공개 호스트 · NPM 칸(Advanced 다섯 줄) · 메모리 예산 · 문제 해결.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.env.development.example

@@ -91,6 +91,8 @@ DB_SYNCHRONIZE=false
 #   mail      메일 엔진 + Mailpit (기본)             → COMPOSE_PROFILES=mail
 #   redis     캐시·세션 공유가 필요해질 때            → COMPOSE_PROFILES=mail,redis
 #   frontend  vite 를 컨테이너로 띄워야 할 때          → COMPOSE_PROFILES=mail,frontend
+#   clamav    대용량 첨부의 악성 검사기(ClamAV — 메모리 1GB 남짓 · 처음에 서명 110MB 를 받는다)
+#             → COMPOSE_PROFILES=mail,clamav 와 함께 아래 "대용량 첨부" 의 CLAMAV_HOST=clamav (운영은 profile 없이 늘 뜬다)
 #
 # 일회성으로 켜려면: docker compose --profile redis ... up -d
 #
@@ -108,6 +110,36 @@ COMPOSE_PROFILES=mail
 UPLOAD_DATA_DIR=./data/uploads
 UPLOAD_MAX_SIZE_MB=5
 
+# ==========================================
+# 대용량 첨부 (11단계 — docs/mail/api-contract.md 4절, mail/README.md "악성 검사 (ClamAV)")
+#
+# 일반 첨부 한도(아래 MAIL_ATTACHMENT_*)를 넘는 파일은 메일 엔진이 아니라 백엔드의 볼륨(<PROJECT_NAME>_files — 개발도 named volume)에 올리고,
+# 메일에는 받는 사람이 로그인 없이 여는 내려받기 링크를 넣는다. 아래 값은 백엔드 기본값과 같다 — 비워 두어도 그 값이다.
+#   SHARE_PUBLIC_URL     : 공개 내려받기 화면의 출처(스킴 · 호스트[· 포트] — 경로 · 끝의 / 없이). 개발은 비운다 = CORS_ORIGIN 의 첫 주소(포털과 같은 호스트).
+#                          운영은 포털과 다른 호스트다(.env.production.example)
+#   SHARE_REPORT_ADDRESS : 공개 화면의 신고 · 문의 주소 (비우면 postmaster@<MAIL_DOMAIN>)
+#   SHARE_DOWNLOAD_LIMIT : 파일마다 내려받기 상한(받기 시작한 수, 1~100000)
+#   MAIL_LARGE_FILE_MAX_SIZE_MB    : 한 파일(MB, 1~2047 — 악성 검사기가 끝까지 검사할 수 있는 2GiB 아래, MAIL_ATTACHMENT_MAX_SIZE_MB 이상)
+#   MAIL_LARGE_FILE_MAX_COUNT      : 메일 한 통에 새로 싣는 대용량 파일 수(1~20)
+#   MAIL_LARGE_FILE_USER_QUOTA_GB  : 직원마다 동시에 보관하는 양(GB, 1~1000 — 올리는 중 · 임시 저장 포함)
+#   MAIL_LARGE_FILE_RETENTION_DAYS : 보낸 날(한국)부터 받을 수 있는 날 수(1~90)
+#   FILE_STORAGE_MAX_TOTAL_GB      : 서버 전체 보관량(GB). 비우면 한도 없음 — 디스크 여유만 본다
+#   FILE_STORAGE_MIN_FREE_GB       : 올리기를 만든 뒤에도 남길 디스크 여유(GB) — 개발은 Docker Desktop 가상 디스크의 여유를 본다
+#   CLAMAV_HOST · CLAMAV_PORT      : 악성 검사기(clamd). 개발은 비워 둔다 = 검사하지 않고 다 올리자마자 "검사하지 못함".
+#                                    켜려면 COMPOSE_PROFILES=mail,clamav 와 함께 CLAMAV_HOST=clamav (compose 의 clamav 서비스, 포트 3310)
+# ==========================================
+SHARE_PUBLIC_URL=
+SHARE_REPORT_ADDRESS=
+SHARE_DOWNLOAD_LIMIT=500
+MAIL_LARGE_FILE_MAX_SIZE_MB=2047
+MAIL_LARGE_FILE_MAX_COUNT=10
+MAIL_LARGE_FILE_USER_QUOTA_GB=10
+MAIL_LARGE_FILE_RETENTION_DAYS=30
+FILE_STORAGE_MAX_TOTAL_GB=
+FILE_STORAGE_MIN_FREE_GB=10
+CLAMAV_HOST=
+CLAMAV_PORT=3310
+
 # ==========================================
 # 메일 엔진 (Stalwart) — profile `mail`
 #