Seguridad y Rendimiento

# Security and Hardening

## Controles Esenciales
1. **Consultas parametrizadas**: Usa siempre prepared statements; nunca concatenes variables en sentencias SQL.
2. **Escape contextual**: Escapa toda salida hacia el navegador (`htmlspecialchars` con ENT_QUOTES | ENT_SUBSTITUTE).
3. **Protección CSRF**: Tokens criptográficos únicos por sesión validados en todos los métodos POST/PUT/DELETE.
4. **Cookies seguras**: Marcas `HttpOnly`, `Secure` y `SameSite=Lax` en identificadores de sesión.
5. **Cabeceras HTTP de seguridad**: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options.

# Performance Optimization

## Áreas de Optimización
- **Bases de datos**: Asegura índices en claves foráneas y columnas de filtro frecuente (`EXPLAIN QUERY PLAN`).
- **Frontend**: Optimización de imágenes (WebP), compresión gzip/brotli y minimización del bloqueo de renderizado por scripts.
- **Consultas eficientes**: Evita patrones de consulta N+1 mediante JOINs adecuados o agrupación de lecturas.