fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

server/internal/middleware/middleware_test.go

@@ -0,0 +1,105 @@
+package middleware
+
+import (
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+)
+
+// 客户端超长 request_id 会被下游当作幂等键缓存，必须作废并换成服务端生成的 id（P2-6）。
+func TestRequestIDClampsOversizedHeader(t *testing.T) {
+	var (
+		ctxID     string
+		handlerID string
+	)
+	h := RequestID(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		ctxID = GetRequestID(r.Context())
+		handlerID = r.Header.Get(HeaderRequestID)
+	}))
+	req := httptest.NewRequest(http.MethodPost, "/api/teams", nil)
+	req.Header.Set(HeaderRequestID, strings.Repeat("x", maxRequestIDLen+1))
+	rec := httptest.NewRecorder()
+	h.ServeHTTP(rec, req)
+
+	if ctxID == "" || len(ctxID) > maxRequestIDLen {
+		t.Fatalf("超长 id 应换成服务端生成的短 id，得到 %q", ctxID)
+	}
+	if handlerID != ctxID {
+		t.Fatalf("下游读到的 request_id 应与 ctx 一致，ctx=%q header=%q", ctxID, handlerID)
+	}
+	if got := rec.Header().Get(HeaderRequestID); got != ctxID {
+		t.Fatalf("响应头 request_id 应为 %q，得到 %q", ctxID, got)
+	}
+}
+
+// 合理长度的客户端 id 仍应原样复用，保证幂等回放。
+func TestRequestIDKeepsNormalHeader(t *testing.T) {
+	var ctxID string
+	h := RequestID(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		ctxID = GetRequestID(r.Context())
+	}))
+	req := httptest.NewRequest(http.MethodPost, "/api/teams", nil)
+	req.Header.Set(HeaderRequestID, "abc-123")
+	h.ServeHTTP(httptest.NewRecorder(), req)
+
+	if ctxID != "abc-123" {
+		t.Fatalf("正常 id 应原样复用，得到 %q", ctxID)
+	}
+}
+
+// 登录是 guest 请求，CSRF Token 校验被跳过，靠同源校验挡住 login CSRF（P2-6）。
+func TestCSRFBlocksCrossOriginLogin(t *testing.T) {
+	next := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+	h := CSRF(next)
+
+	req := httptest.NewRequest(http.MethodPost, "/api/auth/login", nil)
+	req.Host = "scoreboard.local"
+	req.Header.Set("Origin", "http://evil.example")
+	rec := httptest.NewRecorder()
+	h.ServeHTTP(rec, req)
+	if rec.Code != http.StatusForbidden {
+		t.Fatalf("跨站登录应 403，得到 %d", rec.Code)
+	}
+
+	req = httptest.NewRequest(http.MethodPost, "/api/auth/login", nil)
+	req.Host = "scoreboard.local"
+	req.Header.Set("Origin", "http://scoreboard.local")
+	rec = httptest.NewRecorder()
+	h.ServeHTTP(rec, req)
+	if rec.Code != http.StatusOK {
+		t.Fatalf("同源登录应放行，得到 %d", rec.Code)
+	}
+}
+
+// 同源判断：两个头都没有时放行脚本调用，Origin: null 与解析失败一律拒绝。
+func TestSameOrigin(t *testing.T) {
+	cases := []struct {
+		name    string
+		origin  string
+		referer string
+		want    bool
+	}{
+		{"无来源头", "", "", true},
+		{"同源 Origin", "http://scoreboard.local", "", true},
+		{"跨站 Origin", "http://evil.example", "", false},
+		{"Origin 为 null", "null", "", false},
+		{"同源 Referer", "", "http://scoreboard.local/admin", true},
+		{"跨站 Referer", "", "http://evil.example/x", false},
+	}
+	for _, tc := range cases {
+		t.Run(tc.name, func(t *testing.T) {
+			req := httptest.NewRequest(http.MethodPost, "/api/auth/login", nil)
+			req.Host = "scoreboard.local"
+			if tc.origin != "" {
+				req.Header.Set("Origin", tc.origin)
+			}
+			if tc.referer != "" {
+				req.Header.Set("Referer", tc.referer)
+			}
+			if got := sameOrigin(req); got != tc.want {
+				t.Fatalf("sameOrigin = %v，期望 %v", got, tc.want)
+			}
+		})
+	}
+}