feat(publish): 显式发布命令（dry-run/confirm/审计/站点配置首版/锚点helper）

- publishSiteContent 零装饰器服务：dry-run 只读清单（current 非空且 published≠current）
  + 随机 confirm token；confirm 单事务批量 UPDATE published←current + audit_logs
  （action=content.publish，全仓第一个审计写入方）+ site_config_revisions v1 首版
  （{name,origin,locale,brand:{}}，UNIQUE(site_id,version) 幂等）
- 空清单 no-op 零写入；SITE_NOT_FOUND/CONFIRM_TOKEN_REQUIRED 均先于任何写入
- P0 门禁不做（ADR-018 记偏离，服务 JSDoc 注明）；导入永不发布（ADR-010）
- sf CLI + content:publish（--dry-run/--confirm/--actor，缺省 dry-run 安全优先，
  actor 缺省 super_admin@cli）
- anchors.ts：五列内容身份查询从 content/term/route 三写入器抽单源共享（零行为
  变更，既有 333 测试守护）
- 集成测试 7 例（临时库 mini 全链）：dry-run 零写入/confirm/幂等/config 首版与
  既有跳过/actor/空清单/SITE_NOT_FOUND/缺 token

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/api/src/modules/import/content-writer.ts

@@ -46,11 +46,12 @@
 // Task 6 编排负责把 site.default_locale 接进 mapConfig（否则适配器产 locale 空串行，
 // 1047 行全被此处拒收——接缝两侧双保险）。
 import { createHash } from 'node:crypto'
-import { and, desc, eq, isNotNull } from 'drizzle-orm'
+import { and, eq } from 'drizzle-orm'
 import { UNIVERSAL_ROW_VERSION, type UniversalRow } from '@sf/contracts'
 import type { AdapterEvent } from '@sf/adapter-wp'
 import { canonicalJson } from '../../common/canonical.js'
 import { contentEntries, contentRevisions, entryLocales, sourceRecords } from '../../db/schema.js'
+import { findLatestLinkedSourceRecord } from './anchors.js'
 import type { ImportDb, ImportPipeline, ImportPipelineOutcome, ImportVersionBlock, WriterContext } from './import.service.js'
 
 /** 事务句柄类型（db.transaction 回调参数——从 ImportDb 的事务签名提取，避免重复泛型展开） */
@@ -252,29 +253,9 @@ export function createContentEventHandler(identity: WriterContext & {
     return rows[0] ?? null
   }
 
-  /** 五列内容身份 → 既有 entry 的最新快照行（跨快照；latest first——与 term-writer 同口径） */
+  /** 五列内容身份 → 既有 entry 的最新快照行（anchors.ts 共享 helper——latest first，跨快照） */
   async function findPriorLinkedRecord(row: UniversalRow) {
-    const rows = await db
-      .select({
-        id: sourceRecords.id,
-        contentEntryId: sourceRecords.contentEntryId,
-        normalizedChecksum: sourceRecords.normalizedChecksum,
-      })
-      .from(sourceRecords)
-      .where(
-        and(
-          eq(sourceRecords.siteId, siteId),
-          eq(sourceRecords.sourceConnectionId, identity.connectionId),
-          eq(sourceRecords.sourceType, row.sourceType),
-          eq(sourceRecords.sourceId, row.sourceId),
-          eq(sourceRecords.locale, row.locale),
-          isNotNull(sourceRecords.contentEntryId),
-        ),
-      )
-      .orderBy(desc(sourceRecords.createdAt))
-      .limit(1)
-    // contentEntryId 非 null：查询谓词 isNotNull 保证（drizzle 谓词不细化 select 类型）
-    return rows[0] === undefined ? null : { ...rows[0], contentEntryId: rows[0].contentEntryId! }
+    return findLatestLinkedSourceRecord(db, { siteId, connectionId: identity.connectionId }, row)
   }
 
   /** 内容行主路径：幂等三态（miss / checksum 同 skip / checksum 异新修订） */