fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

server/internal/realtime/client.go

@@ -33,13 +33,15 @@ type client struct {
 	sessionRole   string
 	sessionUserID int64
 	instanceID    string
+	// settingsAdmin 表示会话是否为 admin：recorder 也进管理端房间，但读不到系统配置。
+	settingsAdmin bool
 
 	ackVersion atomic.Int64 // 客户端已确认应用到的版本
 	lastSent   atomic.Int64 // 服务端已发出的最大版本
 	slow       atomic.Bool
 }
 
-func newClient(h *Hub, conn *websocket.Conn, remoteAddr, sessionRole string, sessionUserID int64) *client {
+func newClient(h *Hub, conn *websocket.Conn, remoteAddr, sessionRole string, sessionUserID int64, settingsAdmin bool) *client {
 	return &client{
 		hub:           h,
 		conn:          conn,
@@ -48,6 +50,7 @@ func newClient(h *Hub, conn *websocket.Conn, remoteAddr, sessionRole string, ses
 		done:          make(chan struct{}),
 		sessionRole:   sessionRole,
 		sessionUserID: sessionUserID,
+		settingsAdmin: settingsAdmin,
 	}
 }
 
@@ -63,6 +66,15 @@ func (c *client) stop(code websocket.StatusCode, reason string) {
 	})
 }
 
+// guardLoop 兜住读写 goroutine 里的 panic：HTTP 中间件的 recover 只覆盖 handler 栈，
+// 这两条 goroutine 不兜底会把整个进程带走。
+func (c *client) guardLoop(name string) {
+	if r := recover(); r != nil {
+		c.hub.log.Error("实时循环 panic，已断开连接", "loop", name, "remote", c.remoteAddr, "panic", r)
+		c.stop(websocket.StatusInternalError, name+"循环异常")
+	}
+}
+
 func (c *client) sendEvent(event string, data any) bool {
 	msg, err := encode(event, data)
 	if err != nil {
@@ -88,8 +100,10 @@ func (c *client) sendRaw(msg []byte) bool {
 }
 
 // readLoop 解析 C→S 消息；首条消息受 helloTimeout 限制，防止空连接占用资源。
+// 读写都在独立 goroutine 里跑，HTTP 中间件的 recover 覆盖不到，必须各自兜底。
 func (c *client) readLoop(ctx context.Context) {
 	defer c.stop(websocket.StatusNormalClosure, "")
+	defer c.guardLoop("读")
 
 	for {
 		c.mu.Lock()
@@ -140,6 +154,14 @@ func (c *client) handleMessage(ctx context.Context, data []byte) {
 		c.hub.touchInstance(c, time.Now())
 
 	case EventResync:
+		// hello 之前的 resync 既没有房间归属，又会提前清掉 hello 超时，直接忽略。
+		c.mu.Lock()
+		greeted := c.greeted
+		c.mu.Unlock()
+		if !greeted {
+			c.hub.log.Debug("忽略 hello 之前的 resync", "remote", c.remoteAddr)
+			return
+		}
 		c.hub.sendInitial(ctx, c, nil)
 
 	default:
@@ -149,6 +171,7 @@ func (c *client) handleMessage(ctx context.Context, data []byte) {
 
 // writeLoop 是唯一的写者，保证同一连接上的帧顺序。
 func (c *client) writeLoop(ctx context.Context) {
+	defer c.guardLoop("写")
 	for {
 		select {
 		case <-ctx.Done():