fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

server/internal/realtime/hub.go

@@ -21,6 +21,7 @@ const (
 	defaultSlowLag           = 500
 	defaultHelloTimeout      = 15 * time.Second
 	defaultWriteTimeout      = 10 * time.Second
+	defaultCloseTimeout      = 2 * time.Second
 	defaultSendBuffer        = 64
 )
 
@@ -221,7 +222,7 @@ func (h *Hub) Handler() http.Handler {
 		h.mu.Lock()
 		if h.closed {
 			h.mu.Unlock()
-			_ = conn.CloseNow()
+			_ = conn.Close(websocket.StatusGoingAway, "服务关闭")
 			return
 		}
 		h.connWG.Add(1)
@@ -229,25 +230,26 @@ func (h *Hub) Handler() http.Handler {
 		defer h.connWG.Done()
 
 		// 身份只认会话：/ws 必须被 Authenticate 中间件包住，否则一律按 guest 处理。
-		role, userID := wsIdentity(r.Context())
-		h.serve(conn, r.RemoteAddr, role, userID)
+		role, userID, settingsAdmin := wsIdentity(r.Context())
+		h.serve(conn, r.RemoteAddr, role, userID, settingsAdmin)
 	})
 }
 
 // wsIdentity 从请求上下文取会话身份并折算成实时层角色。
 // 未登录（guest）只能进大屏房间；recorder/admin 才有管理端房间的订阅权。
-func wsIdentity(ctx context.Context) (string, int64) {
+// settingsAdmin 单独返回真实的 admin 判定：recorder 能进管理端房间，但读不到系统配置。
+func wsIdentity(ctx context.Context) (string, int64, bool) {
 	u := middleware.User(ctx)
 	if u == nil || !u.Role.Allows(auth.RoleRecorder) {
-		return RoleDisplay, 0
+		return RoleDisplay, 0, false
 	}
-	return RoleAdmin, u.ID
+	return RoleAdmin, u.ID, u.Role.Allows(auth.RoleAdmin)
 }
 
-func (h *Hub) serve(conn *websocket.Conn, remoteAddr, sessionRole string, sessionUserID int64) {
+func (h *Hub) serve(conn *websocket.Conn, remoteAddr, sessionRole string, sessionUserID int64, settingsAdmin bool) {
 	conn.SetReadLimit(1 << 20)
 
-	c := newClient(h, conn, remoteAddr, sessionRole, sessionUserID)
+	c := newClient(h, conn, remoteAddr, sessionRole, sessionUserID, settingsAdmin)
 	h.addClient(c)
 
 	ctx, cancel := context.WithCancel(h.ctx)
@@ -259,11 +261,29 @@ func (h *Hub) serve(conn *websocket.Conn, remoteAddr, sessionRole string, sessio
 	go func() { defer loops.Done(); c.writeLoop(ctx) }()
 
 	<-c.done
+	// 先做关闭握手，再取消读上下文：coder/websocket 在读上下文被取消时会直接
+	// 关闭底层连接，那样对端只能看到 EOF，收不到策略性关闭码（如 1008）。
+	// 写循环已因 c.done 退出，读循环会随对端回帧自然结束。
+	c.mu.Lock()
+	code, reason := c.closeCode, c.closeReason
+	c.mu.Unlock()
+	if code == 0 {
+		code = websocket.StatusNormalClosure
+	}
+	closed := make(chan struct{})
+	go func() {
+		defer close(closed)
+		_ = conn.Close(code, reason)
+	}()
+	select {
+	case <-closed:
+	case <-time.After(defaultCloseTimeout):
+		// 对端不回应：cancel 会强制关闭底层连接，读循环随之退出。
+	}
+
 	cancel()
 	loops.Wait()
 	h.removeClient(c)
-	// 客户端会自动重连并走 catchup，这里直接断开，避免关闭握手阻塞。
-	_ = conn.CloseNow()
 }
 
 func (h *Hub) addClient(c *client) {
@@ -429,6 +449,10 @@ func (h *Hub) sendSnapshotLocked(ctx context.Context, c *client) {
 		c.stop(websocket.StatusInternalError, "快照不可用")
 		return
 	}
+	// 快照对所有角色下发，但系统配置只有 admin 能看：非 admin 只保留大屏渲染所需字段。
+	if !c.settingsAdmin {
+		snap.Settings = snap.Settings.WithoutAdminFields()
+	}
 	if !c.sendEvent(EventSnapshot, snap) {
 		return
 	}