feat(svcitem): 事项库+办事大厅 R2 后端落地，并完成交付后独立审计修复

落地（依据《事项库与办事大厅详细设计 v1》）
- 事项域垂直包 com.yunhai.cms.svcitem.*（entity/enums/repository/service+impl/event/config/model dto+query+vo）
  与 controller/{api,oapi}/svcitem；两表 DDL 进 cms_init.sql（表 7/8）+ upgrade_svcitem_r2.sql
- SvcItemQuery 接缝：门户 8 方法 + 管理端 11 方法统一收口，控制器不再注入实现类
- 门户公开层：doServiceList/doGuide 双路由变体 + M0 可选模板整页回退
  （视图名/themeBase/buildUrl/资产主题段四处同源 effectiveTheme，缺模板整包退 default）
- oapi 跨服务快照：与平台 AppAuthFilter 同口径签名（canonical=method\npath?sortedQuery\ntimestamp,
  HmacSHA256/Base64, 5min 窗口）+ /oapi/* 强制验签过滤器
- default 皮肤 service.html/guide.html + main.css 服务中心/指南页样式段

审计修复（发现与处置全表见 docs/18-事项库审计与修复记录.md）
- D1 附件引用链：内容资产（封面+正文内嵌图）独立场景 svc_item_asset，保存时按内容派生全量同步归属
  （AttachmentService.localAssetUrls/localWebUrl/syncAssets：集合内标记、集合外解除）。
  修复根因：upload 带 scene 时只写 ref_type 不写 ref_id，而保存仅按前端提交 id 重绑，
  正文图与封面停在半绑定态 → 既不在孤儿口径内也不受 release 管辖，成永久无主行
- D5 归属校验：绑定前做可认领判定（无引用/半绑定/已属本事项方可绑），他事项引用与跨站附件跳过并告警
- D2 部门：组类型改配置 cms.svc.item.dept-group-type（默认 2=学校组，校内科室改 3）；
  deptTree 返回嵌套组树；新增 SvcDeptSource 接缝使静态 getGroupTree 可替身（此前部门链零覆盖）
- D4 缓存：事件 scope 语义化，dict/dept 变更整体失效 cms:svcItem（展示名快照不再滞后 5min）
- 站点解析：findByCode 在 uk(parent_site_id,code) 下命中多条会抛异常变 500，
  4 处生产调用点改 findFirstByCodeOrderByIdAsc（确定性取最早站点）
- 加固：新增 idx_svc_item_portal（含 DESC 列）对症门户排序 filesort；升级脚本改 information_schema
  +PREPARE 幂等索引守卫块（表在缺索引可重跑修复）；clear_cms_data.sql 补事项两表；
  view_count 改有界队列+拒绝丢弃告警；SEL_LIST_MAX 截断告警

测试
- 新增 SvcDeptChainIT 7、SvcItemServiceIT 16（含 D1/D5 回归锚点与全方法权限）、
  SvcItemOapiIT 9（时间戳超窗/未知 appKey/畸形头/siteCode 歧义）、SvcItemPortalIT 11
  （嵌套指南路由/关键词/canonical/浏览量异步）、SvcDictServiceIT 8（改名后缓存即时刷新）
- ThemeContractIT 补"缺可选模板主题资产段必退 default"断言并订正七路由表述
- 全量 mvn -o test：388 测试 0 失败；升级脚本 bsch_cms_test 两跑幂等（含缺索引自动补建）

src/main/java/com/yunhai/cms/repository/CmsSiteRepository.java

@@ -8,8 +8,24 @@ import java.util.Optional;
 
 public interface CmsSiteRepository extends JpaRepository<CmsSite, Integer> {
 
+    /**
+     * 按站点编码取站点（严格版：命中多条时抛 IncorrectResultSizeDataAccessException）。
+     *
+     * <p>语义说明：{@code code} 自 W4 起不是全局唯一（唯一键为 {@code uk_site_parent_code(parent_site_id, code)}），
+     * 多校部署下不同父站可挂同名 code 子站。**生产代码请用**
+     * {@link #findFirstByCodeOrderByIdAsc(String)}（确定性取最早一条，不会因歧义 500）；
+     * 本方法语义为"断言 code 唯一"，保留给集成测试做唯一性/落库断言。
+     */
     Optional<CmsSite> findByCode(String code);
 
+    /**
+     * 按站点编码取站点（取 id 最小者）——生产路径口径。
+     *
+     * <p>歧义时不再抛异常导致 500，而是确定性取最早创建的站点；跨服务单键定位的正解仍是
+     * (siteCode,itemCode) 成对 + 建站保证 code 全局唯一（设计 §1.3/R4）。
+     */
+    Optional<CmsSite> findFirstByCodeOrderByIdAsc(String code);
+
     /** 门户路径精确查找（W4：/portal/{path} 身份解析唯一入口） */
     Optional<CmsSite> findByPath(String path);