fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

server/internal/httpapi/export_handlers.go

@@ -2,11 +2,14 @@ package httpapi
 
 import (
 	"context"
+	"crypto/rand"
+	"encoding/hex"
 	"io"
 	"net/http"
 	"net/url"
 	"os"
 	"path/filepath"
+	"strings"
 	"time"
 
 	"git.yeij.top/AskaEth/Scoreboard/server/internal/auth"
@@ -16,6 +19,9 @@ import (
 
 const xlsxMIME = "application/vnd.openxmlformats-officedocument.spreadsheetml.sheet"
 
+// maxProjectImportBytes 是赛事包上传的硬上限，避免超大请求把内存和磁盘撑爆。
+const maxProjectImportBytes = 512 << 20
+
 // exportRoutes 挂载 xlsx 导出、赛事项目包与备份查询。
 func (s *server) exportRoutes(mux *http.ServeMux) {
 	mux.HandleFunc("GET /api/export/standings.xlsx", s.read(auth.RoleGuest, s.exportStandingsXLSX))
@@ -115,7 +121,10 @@ func (s *server) exportProjectZip(w http.ResponseWriter, r *http.Request) (any,
 	defer cleanup()
 	opts.RulesPath = rulesPath
 
-	dst := filepath.Join(dir, "project-"+time.Now().Format("20060102-150405")+".zip")
+	dst, err := projectExportPath(dir, time.Now())
+	if err != nil {
+		return nil, internal(err)
+	}
 	if _, err := export.ExportProjectZip(s.ev, dst, opts); err != nil {
 		return nil, internal(err)
 	}
@@ -127,6 +136,16 @@ func (s *server) exportProjectZip(w http.ResponseWriter, r *http.Request) (any,
 	return nil, errHandled
 }
 
+// projectExportPath 生成带随机后缀的导出文件名：精度到秒的时间戳在并发导出时会撞名，
+// 后写的会截断先写的文件，导致先返回的响应内容损坏。
+func projectExportPath(dir string, now time.Time) (string, error) {
+	suffix := make([]byte, 4)
+	if _, err := rand.Read(suffix); err != nil {
+		return "", err
+	}
+	return filepath.Join(dir, "project-"+now.Format("20060102-150405")+"-"+hex.EncodeToString(suffix)+".zip"), nil
+}
+
 // writeRulesTempFile 把当前规则包导出成临时 YAML，供赛事项目包内嵌 rules.yaml。
 // 返回的清理函数由调用方 defer，避免临时文件泄漏。
 func (s *server) writeRulesTempFile(ctx context.Context) (string, func(), error) {
@@ -155,6 +174,7 @@ func (s *server) writeRulesTempFile(ctx context.Context) (string, func(), error)
 }
 
 func (s *server) importProjectZip(w http.ResponseWriter, r *http.Request) (any, error) {
+	r.Body = http.MaxBytesReader(w, r.Body, maxProjectImportBytes)
 	if err := r.ParseMultipartForm(512 << 20); err != nil {
 		return nil, badRequest("解析上传失败", nil)
 	}
@@ -183,6 +203,22 @@ func (s *server) importProjectZip(w http.ResponseWriter, r *http.Request) (any,
 		return nil, internal(err)
 	}
 
+	// 覆盖正在运行的赛事项目会让运行中的 event.db 被 unlink（Linux）或 rename 失败（Windows），
+	// 现场继续写进已删除的 inode，重启即丢数据，必须在落盘前直接拒绝。
+	if cur := currentProjectName(s.projectDir); cur != "" {
+		meta, err := export.InspectProjectZip(tmp)
+		if err != nil {
+			return nil, badRequest(err.Error(), nil)
+		}
+		name := meta.Name
+		if v := strings.TrimSpace(r.FormValue("rename")); v != "" {
+			name = v
+		}
+		if safe, err := export.SafeProjectName(name); err == nil && strings.EqualFold(safe, cur) {
+			return nil, badRequest("不能覆盖正在运行的赛事项目 "+cur, nil)
+		}
+	}
+
 	res, err := export.ImportProjectZip(tmp, filepath.Join(s.dataDir, "event_projs"), export.ImportOptions{
 		Overwrite: r.FormValue("overwrite") == "1",
 		Rename:    r.FormValue("rename"),
@@ -194,6 +230,15 @@ func (s *server) importProjectZip(w http.ResponseWriter, r *http.Request) (any,
 	return res, nil
 }
 
+// currentProjectName 从项目目录反推当前运行的赛事项目名；未配置目录时返回空串。
+func currentProjectName(projectDir string) string {
+	cleaned := filepath.Clean(strings.TrimSpace(projectDir))
+	if cleaned == "" || cleaned == "." || cleaned == string(filepath.Separator) {
+		return ""
+	}
+	return filepath.Base(cleaned)
+}
+
 func (s *server) listBackups(w http.ResponseWriter, r *http.Request) (any, error) {
 	items, err := export.ListBackups(filepath.Join(s.dataDir, "backups"), "")
 	if err != nil {