fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

server/internal/export/project.go

@@ -26,10 +26,12 @@ const (
 	projectFormatVersion = 1
 	// eventDBName 是包内赛事库的固定文件名。
 	eventDBName = "event.db"
-	// maxExtractBytes 限制解压总体积，避免恶意包把磁盘塞满。
-	maxExtractBytes = 4 << 30
 )
 
+// maxExtractBytes 限制解压总体积，避免恶意包把磁盘塞满。
+// 定义为变量便于测试用较小的上限验证限流逻辑。
+var maxExtractBytes int64 = 4 << 30
+
 // ProjectFile 描述包内一个文件的校验信息。
 type ProjectFile struct {
 	Path   string `yaml:"path"`
@@ -253,18 +255,8 @@ func ImportProjectZip(src, projRoot string, opts ImportOptions) (ImportResult, e
 	}
 
 	target := filepath.Join(projRoot, name)
-	if _, err := os.Stat(target); err == nil {
-		if !opts.Overwrite {
-			return ImportResult{}, fmt.Errorf("%w: %s", ErrProjectExists, name)
-		}
-		stale := target + ".replaced-" + time.Now().Format("20060102-150405")
-		if err := os.Rename(target, stale); err != nil {
-			return ImportResult{}, fmt.Errorf("export: 暂存旧项目 %s: %w", name, err)
-		}
-		defer func() { _ = os.RemoveAll(stale) }()
-	}
-	if err := os.Rename(tmp, target); err != nil {
-		return ImportResult{}, fmt.Errorf("export: 落盘赛事项目 %s: %w", name, err)
+	if err := swapProjectDir(tmp, target, opts.Overwrite, os.Rename); err != nil {
+		return ImportResult{}, err
 	}
 	return ImportResult{
 		Name:    name,
@@ -274,6 +266,38 @@ func ImportProjectZip(src, projRoot string, opts ImportOptions) (ImportResult, e
 	}, nil
 }
 
+// swapProjectDir 用 src 目录替换 target 目录。
+// 覆盖时先把旧目录改名暂存，src 落盘成功后才删除暂存目录；src 落盘失败则把旧目录改回来，
+// 绝不出现「旧项目已删、新项目没成」的空档。rename 注入仅为测试模拟第二次改名失败。
+func swapProjectDir(src, target string, overwrite bool, rename func(old, new string) error) error {
+	name := filepath.Base(target)
+	stale := ""
+	if _, err := os.Stat(target); err == nil {
+		if !overwrite {
+			return fmt.Errorf("%w: %s", ErrProjectExists, name)
+		}
+		stale = target + ".replaced-" + time.Now().Format("20060102-150405")
+		if err := rename(target, stale); err != nil {
+			return fmt.Errorf("export: 暂存旧项目 %s: %w", name, err)
+		}
+	} else if !os.IsNotExist(err) {
+		return fmt.Errorf("export: 检查项目目录 %s: %w", target, err)
+	}
+	if err := rename(src, target); err != nil {
+		if stale != "" {
+			if rbErr := rename(stale, target); rbErr != nil {
+				return fmt.Errorf("export: 落盘赛事项目 %s: %w（旧项目回滚失败，暂存在 %s: %v）", name, err, stale, rbErr)
+			}
+		}
+		return fmt.Errorf("export: 落盘赛事项目 %s: %w", name, err)
+	}
+	if stale != "" {
+		// 新项目已就位，清理旧目录失败不影响本次导入，留待下次人工处理。
+		_ = os.RemoveAll(stale)
+	}
+	return nil
+}
+
 // SafeProjectName 校验项目名：它会被当作目录名，必须挡住路径穿越与 Windows 保留名。
 func SafeProjectName(name string) (string, error) {
 	name = strings.TrimSpace(name)
@@ -289,6 +313,10 @@ func SafeProjectName(name string) (string, error) {
 	if strings.ContainsAny(name, `/\:*?"<>|`) || strings.ContainsRune(name, 0) {
 		return "", fmt.Errorf("%w: %q", ErrUnsafeName, name)
 	}
+	// Windows 会静默剥掉目录名末尾的点与空格，"赛事." 与 "赛事" 会撞成同一个目录。
+	if strings.HasSuffix(name, ".") || strings.HasSuffix(name, " ") {
+		return "", fmt.Errorf("%w: %q 不能以点或空格结尾", ErrUnsafeName, name)
+	}
 	for _, r := range name {
 		if r < 0x20 {
 			return "", fmt.Errorf("%w: %q", ErrUnsafeName, name)
@@ -511,7 +539,7 @@ func extractZip(src, dst string) error {
 	}
 	defer func() { _ = r.Close() }()
 
-	var total uint64
+	var total int64
 	for _, f := range r.File {
 		target, err := secureJoin(dst, f.Name)
 		if err != nil {
@@ -523,8 +551,8 @@ func extractZip(src, dst string) error {
 			}
 			continue
 		}
-		total += f.UncompressedSize64
-		if total > maxExtractBytes {
+		// 声明值先卡一道，避免一上来就落盘；注意先判上界再转 int64，防止溢出。
+		if f.UncompressedSize64 > uint64(maxExtractBytes) || total+int64(f.UncompressedSize64) > maxExtractBytes {
 			return fmt.Errorf("%w: 解压体积超过 %d 字节", ErrInvalidPackage, maxExtractBytes)
 		}
 		if err := os.MkdirAll(filepath.Dir(target), 0o755); err != nil {
@@ -539,12 +567,17 @@ func extractZip(src, dst string) error {
 			_ = rc.Close()
 			return fmt.Errorf("export: 写入 %s: %w", target, err)
 		}
-		_, copyErr := io.Copy(out, rc)
+		// header 里的声明值可以伪造，按实际写出的字节数再卡一次上限。
+		n, copyErr := io.Copy(out, io.LimitReader(rc, maxExtractBytes-total+1))
 		closeOutErr := out.Close()
 		closeInErr := rc.Close()
 		if copyErr != nil {
 			return fmt.Errorf("export: 解压 %s: %w", f.Name, copyErr)
 		}
+		total += n
+		if total > maxExtractBytes {
+			return fmt.Errorf("%w: 解压体积超过 %d 字节", ErrInvalidPackage, maxExtractBytes)
+		}
 		if closeOutErr != nil {
 			return fmt.Errorf("export: 关闭 %s: %w", target, closeOutErr)
 		}