ci：publish workflow 加 buildx cache 與不可變 sha tag

[as535364]

What to build

Publish Docker Image 的 build 步驟加 `cache-from: type=gha` 與 `cache-to: type=gha,mode=max`——poetry.lock 未變時，arm64-under-QEMU 的依賴安裝層可以重用，是目前最大的提速空間。gha cache 有 10 GB／repo 上限、LRU 淘汰；最壞情況退回全量重建，即今天的行為。

metadata-action 的 tags 加 `type=sha`，讓每次 main build 除了 latest 外都有不可變的 `sha-xxxxxxx` tag——「滾 latest」部署模型唯一需要的回滾機制，零成本；部署照常拉 latest，不受影響。

Acceptance criteria

• merge 後 ghcr 同時出現 latest 與 sha- 開頭的 tag
• lock 檔未變的連續兩次 publish，第二次 build 時間明顯縮短

Blocked by

• ci：升級所有 GitHub Actions 到現行 major 版本 #346