fix(adapter-wp): 原型键防御与对抗测试；meta 冲突策略统一（单值先者+issue/phpRaw 清理）；extras 原型污染防御；config 校验；prebuild 依赖固化

- Fix 1：routes/STATUS_MAP 查键一律 Object.hasOwn 守卫（'constructor'/
  'valueOf' 等继承键裸索引命中函数值绕过 undefined 检查）+ 对抗测试
- Fix 2：prebuild 脚本先建 contracts dist（fresh-clone build 不再 TS2307，
  亦防 stale dist 静默编译；已实测 rm -rf dist 后全链成功）
- Fix 3：单值 meta（thumbnail/seo×2）重复→先者胜出+issue（WP 单值语义，
  首个占位即便值非法不被顶替）；wppop 重复→最后一次决定终态（成功清
  phpRaw/失败清 wppop_sections，两键互斥）；三方策略 JSDoc 冻结
- Fix 4：extras 改 null 原型字典——'__proto__' meta 不再被 setter 静默
  吞掉（测试钉死自有键+JSON 往返）；gallery 累积语义明确
- Fix 5：typeRoutes 空字符串路由值 → TypeError fail fast
- 173→184 测试全绿；typecheck/lint/build 绿

Co-Authored-By: Claude Code <noreply@anthropic.com>

packages/adapter-wordpress/src/map/item-to-row.ts

@@ -50,6 +50,15 @@ export const UNKNOWN_STATUS = 'unknown'
  * thumbnail → attachmentRefs{role:'featured'}；gallery（逗号分隔 id）→ {role:'gallery'}；
  * seoTitle/seoDescription → seo.title/description；wppopSections → PHP 解析（见 mapWppop）；
  * 其余 meta 一律原样进 extras。
+ *
+ * 同 item 内键冲突的三方策略（审查 Fix 3，JSDoc 冻结）：
+ * - 未识别键 → **后者覆盖**（文档序 last-wins，进 extras）；
+ * - 单值键（thumbnail/seoTitle/seoDescription）→ **先者胜出** + issue
+ *   （照 WP get_post_meta($id,$key,true) 取首值的语义；首个出现即占位，即便其值
+ *   为空/非法也不被后续同键值顶替——重复即数据异常，显式报告不猜）；
+ * - wppopSections → **最后一次出现决定终态**：成功则清 extras.phpRaw，失败则清
+ *   extras.wppop_sections（issues 为追加式日志，不随终态回滚）。
+ * gallery 为累积语义（多段并集），不在单值策略内。
  */
 export const META_KEYS = Object.freeze({
   thumbnail: '_thumbnail_id',
@@ -66,6 +75,8 @@ export interface MapConfig {
   /**
    * post_type → sourceType 路由；缺省 {@link DEFAULT_TYPE_ROUTES}。
    * 传则**整体替换**（非合并）——需增改请展开默认表：`{ ...DEFAULT_TYPE_ROUTES, ... }`。
+   * 路由值不得为空字符串（post_type 映射到空 sourceType 是调用方程序错误，
+   * mapItem 直接抛 TypeError fail fast——审查 Fix 5）。
    */
   typeRoutes?: Readonly<Record<string, string>>
 }
@@ -86,12 +97,17 @@ export type MappedResult =
  * wppop_sections 分流：PHP 串经 phpUnserialize + phpValueToJson 进 extras（Map 陷阱
  * 防线：phpValueToJson 前的 Map 不可 JSON.stringify，会静默变 {}）；任何解析失败
  * （PhpParseError/PhpLimitError）不崩不丢——原串存 extras.phpRaw 并记 issue。
+ *
+ * 同 item 重复 wppop_sections（审查 Fix 3b）：最后一次出现决定终态——成功清
+ * extras.phpRaw，失败对称清 extras.wppop_sections（两键互斥，不残留混态）。
  */
 function mapWppop(raw: string, extras: Record<string, unknown>, issues: string[]): void {
   try {
     extras[META_KEYS.wppopSections] = phpValueToJson(phpUnserialize(raw))
+    delete extras.phpRaw
   } catch (err) {
     extras.phpRaw = raw
+    delete extras[META_KEYS.wppopSections]
     const detail = err instanceof Error ? `${err.name}: ${err.message}` : String(err)
     issues.push(`meta ${META_KEYS.wppopSections} PHP 解析失败（${detail}），原串保留于 extras.phpRaw`)
   }
@@ -106,13 +122,28 @@ function mapWppop(raw: string, extras: Record<string, unknown>, issues: string[]
  * 字段以"缺席"表达"源无此值"，而非空串。
  */
 export function mapItem(item: WxrItem, config: MapConfig): MappedResult {
+  // config 校验先于一切（程序员错误 fail fast——审查 Fix 5）：空串路由值会产出
+  // sourceType:'' 的 row，静默穿透守卫的非空不变量
+  if (config.typeRoutes !== undefined) {
+    for (const [key, value] of Object.entries(config.typeRoutes)) {
+      if (value === '') {
+        throw new TypeError(
+          `MapConfig.typeRoutes 含空字符串路由值（key=${JSON.stringify(key)}）：post_type 必须映射到非空 sourceType`,
+        )
+      }
+    }
+  }
+
   // Task 3 审查移交策略：post_id 是 sourceId 唯一来源，缺失/非法即无法建立稳定身份
   if (item.postId === null) {
     return { kind: 'error', issue: 'post_id 缺失或非法', rawLocation: item.rawLocation }
   }
 
+  // 原型键防御（审查 Fix 1）：postType/status 来自不可信输入，裸索引会命中继承属性
+  // （如 'constructor'/'valueOf' 返回函数，绕过 undefined 检查被当合法值使用）——
+  // 一律 Object.hasOwn 守卫，继承键视同未配置/未知
   const routes = config.typeRoutes ?? DEFAULT_TYPE_ROUTES
-  const sourceType = routes[item.postType]
+  const sourceType = Object.hasOwn(routes, item.postType) ? routes[item.postType] : undefined
   if (sourceType === undefined) {
     return {
       kind: 'unsupported',
@@ -123,7 +154,7 @@ export function mapItem(item: WxrItem, config: MapConfig): MappedResult {
   }
 
   const issues: string[] = []
-  const knownStatus = STATUS_MAP[item.status]
+  const knownStatus = Object.hasOwn(STATUS_MAP, item.status) ? STATUS_MAP[item.status] : undefined
   const status = knownStatus ?? UNKNOWN_STATUS
   if (knownStatus === undefined) {
     issues.push(`status 值未识别：${JSON.stringify(item.status)}，已映射为 '${UNKNOWN_STATUS}'`)
@@ -142,9 +173,21 @@ export function mapItem(item: WxrItem, config: MapConfig): MappedResult {
 
   const attachmentRefs: UniversalRow['attachmentRefs'] = []
   const seo: Record<string, unknown> = {}
-  const extras: Record<string, unknown> = {}
+  // 原型污染防御（审查 Fix 4）：null 原型字典——meta key 是不可信输入，普通对象上
+  // `extras['__proto__'] = v` 命中 setter 被静默吞掉（字符串原型非对象，赋值无效果）；
+  // null 原型下该键成为普通自有键。isUniversalRow/JSON.stringify/展开复制均兼容。
+  const extras: Record<string, unknown> = Object.create(null)
+  // 单值键占位标记（冲突策略见 META_KEYS JSDoc）：首个出现即占位，重复 → issue + 取先者
+  let thumbnailSeen = false
+  let seoTitleSeen = false
+  let seoDescriptionSeen = false
   for (const meta of item.metas) {
     if (meta.key === META_KEYS.thumbnail) {
+      if (thumbnailSeen) {
+        issues.push(`meta ${META_KEYS.thumbnail} 重复，取先者`)
+        continue
+      }
+      thumbnailSeen = true
       const sourceId = meta.value.trim()
       if (sourceId === '') {
         // 畸形：meta 存在但值为空（对照：空 gallery 值 = 无图库，合法）
@@ -153,14 +196,25 @@ export function mapItem(item: WxrItem, config: MapConfig): MappedResult {
       }
       attachmentRefs.push({ role: 'featured', sourceId })
     } else if (meta.key === META_KEYS.gallery) {
+      // 累积语义：多段 gallery meta 的引用按文档序并入（无冲突策略）
       for (const part of meta.value.split(',')) {
         const sourceId = part.trim()
         if (sourceId !== '') attachmentRefs.push({ role: 'gallery', sourceId })
       }
     } else if (meta.key === META_KEYS.seoTitle) {
-      seo.title = meta.value
+      if (seoTitleSeen) {
+        issues.push(`meta ${META_KEYS.seoTitle} 重复，取先者`)
+        continue
+      }
+      seoTitleSeen = true
+      if (meta.value !== '') seo.title = meta.value
     } else if (meta.key === META_KEYS.seoDescription) {
-      seo.description = meta.value
+      if (seoDescriptionSeen) {
+        issues.push(`meta ${META_KEYS.seoDescription} 重复，取先者`)
+        continue
+      }
+      seoDescriptionSeen = true
+      if (meta.value !== '') seo.description = meta.value
     } else if (meta.key === META_KEYS.wppopSections) {
       mapWppop(meta.value, extras, issues)
     } else {