fix(backend): 운영 공개 URL 에 로컬 주소가 남으면 기동을 실패시킴

.env.production.example 이 개발용 값(localhost)을 그대로 담고 있어, 복사해 배포하면
서버는 정상 기동하지만 CORS 화이트리스트가 실제 도메인을 막고 프론트 번들은
localhost 를 호출한다 — 브라우저에서만 조용히 실패해 원인을 찾기 어렵다.

- CORS_ORIGIN·BACKEND_API_URL 에 로컬 주소나 예시 도메인이 있으면 운영에서 기동 실패
- 예제 값을 도메인 형태로 교체 (그대로 두면 이 검사에 걸린다)
- BACKEND_API_URL 은 앱이 쓰지 않지만 검사를 위해 compose 가 backend 에 주입한다
- 로컬에서 운영 이미지를 검증할 때만 ALLOW_LOCALHOST_URL=true 로 건너뛴다

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.env.production.example

@@ -34,9 +34,20 @@ REDIS_DATA_DIR=./data/redis
 
 # ==========================================
 # API 경로 설정
+#
+# ⚠️ 운영에서는 **반드시 실제 공개 도메인**으로 교체한다.
+#    - BACKEND_API_URL : 브라우저가 호출할 API 주소 (프론트엔드 번들에 그대로 박힌다)
+#    - CORS_ORIGIN     : 백엔드가 허용할 오리진 (scheme+host[+port], 여러 개면 콤마 구분)
+#
+#    아래 example.com 이나 localhost 가 남아 있으면 **백엔드가 기동에 실패한다**
+#    (backend/src/shared/config/env.validation.ts — fail-fast).
+#    기동은 되는데 브라우저만 조용히 실패하는 상황을 막기 위한 검사다.
+#
+#    로컬에서 운영 이미지를 검증하느라 일부러 localhost 를 쓰는 경우에만
+#    ALLOW_LOCALHOST_URL=true 로 이 검사를 건너뛴다. 실제 배포에는 설정하지 않는다.
 # ==========================================
-BACKEND_API_URL=http://localhost:3000/api
-CORS_ORIGIN=http://localhost:5173
+BACKEND_API_URL=https://api.example.com/api
+CORS_ORIGIN=https://app.example.com
 
 # ==========================================
 # Rate Limiting (API 남용 방지)