fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

server/internal/middleware/middleware.go

@@ -6,10 +6,13 @@ import (
 	"crypto/rand"
 	"encoding/hex"
 	"encoding/json"
+	"errors"
 	"log/slog"
 	"net"
 	"net/http"
+	"net/url"
 	"runtime/debug"
+	"strings"
 	"time"
 
 	"git.yeij.top/AskaEth/Scoreboard/server/internal/auth"
@@ -18,10 +21,16 @@ import (
 // HeaderRequestID 是客户端可复用的幂等/追踪请求头。
 const HeaderRequestID = "X-Request-Id"
 
-// RequestID 复用客户端传入的 request_id，没有则生成一个并写回响应头。
+// maxRequestIDLen 限制客户端 request_id 长度：它会被下游当作幂等缓存键，超长会撑内存。
+const maxRequestIDLen = 128
+
+// RequestID 复用客户端传入的 request_id，没有或过长则生成一个并写回响应头。
 func RequestID(next http.Handler) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		id := r.Header.Get(HeaderRequestID)
+		if len(id) > maxRequestIDLen {
+			id = ""
+		}
 		if id == "" {
 			buf := make([]byte, 8)
 			if _, err := rand.Read(buf); err == nil {
@@ -30,6 +39,8 @@ func RequestID(next http.Handler) http.Handler {
 				id = time.Now().UTC().Format("20060102150405.000000")
 			}
 		}
+		// 回写请求头，让下游（幂等缓存）读到同一个受控 id。
+		r.Header.Set(HeaderRequestID, id)
 		w.Header().Set(HeaderRequestID, id)
 		next.ServeHTTP(w, r.WithContext(contextWithRequestID(r.Context(), id)))
 	})
@@ -85,13 +96,24 @@ func Log(logger *slog.Logger) func(http.Handler) http.Handler {
 }
 
 // Authenticate 解析会话 Cookie；没有或无效时按 guest 放行（只读默认身份）。
-func Authenticate(svc *auth.Service) func(http.Handler) http.Handler {
+// 会话查询失败必须留痕：否则系统库故障会静默把所有人降级成 guest。
+func Authenticate(svc *auth.Service, logger *slog.Logger) func(http.Handler) http.Handler {
+	if logger == nil {
+		logger = slog.Default()
+	}
 	return func(next http.Handler) http.Handler {
 		return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 			u := &auth.User{Role: auth.RoleGuest}
 			if c, err := r.Cookie(auth.CookieSession); err == nil && c.Value != "" {
-				if found, _, err := svc.Lookup(r.Context(), c.Value); err == nil {
+				found, _, err := svc.Lookup(r.Context(), c.Value)
+				switch {
+				case err == nil:
 					u = found
+				case errors.Is(err, auth.ErrSessionNotFound):
+					// 会话缺失/过期是正常情况，静默按 guest 放行。
+				default:
+					logger.Error("会话查询失败",
+						"err", err, "path", r.URL.Path, "requestId", GetRequestID(r.Context()))
 				}
 			}
 			next.ServeHTTP(w, r.WithContext(WithUser(r.Context(), u)))
@@ -162,6 +184,12 @@ func CSRF(next http.Handler) http.Handler {
 			next.ServeHTTP(w, r)
 			return
 		}
+		// 登录是 guest 请求，拿不到 CSRF Token；跨站表单仍能把受害者登进攻击者的账号，
+		// 因此对带 Origin/Referer 的登录请求单独做同源校验。
+		if r.Method == http.MethodPost && r.URL.Path == "/api/auth/login" && !sameOrigin(r) {
+			writeError(w, http.StatusForbidden, "FORBIDDEN", "登录请求来源校验失败", nil)
+			return
+		}
 		if User(r.Context()).Role == auth.RoleGuest {
 			// 未登录请求由 RequireWrite 处理，无需 CSRF。
 			next.ServeHTTP(w, r)
@@ -179,6 +207,23 @@ func CSRF(next http.Handler) http.Handler {
 	})
 }
 
+// sameOrigin 判断请求是否来自本站。浏览器跨站 POST 一定带 Origin（或 Referer），
+// 两个头都没有时（curl、非浏览器客户端）放行，避免误伤脚本调用。
+func sameOrigin(r *http.Request) bool {
+	raw := r.Header.Get("Origin")
+	if raw == "" {
+		raw = r.Header.Get("Referer")
+	}
+	if raw == "" {
+		return true
+	}
+	parsed, err := url.Parse(raw)
+	if err != nil || parsed.Host == "" {
+		return false
+	}
+	return strings.EqualFold(parsed.Host, r.Host)
+}
+
 // RateLimitWrite 对已登录用户的写操作限流（默认 30 次/分钟/用户）。
 func RateLimitWrite(svc *auth.Service) func(http.Handler) http.Handler {
 	return func(next http.Handler) http.Handler {