fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

web/src/admin/pages/RecordsPage.vue

@@ -78,6 +78,7 @@ const rejectedKeys = ref<string[]>([])
 const approvedKeys = ref<string[]>([])
 
 const canWrite = computed(() => !auth.readOnly && data.canWrite)
+const isAdmin = computed(() => auth.user?.role === 'admin')
 /**
  * 破纪录加分开关：true / false / null（未知）。
  *
@@ -139,11 +140,13 @@ function levelRank(level: RecordLevel): number {
   return index < 0 ? 0 : index
 }
 
+/** 只有真的连不上服务端才做本地降级；业务 404 / 解析失败必须原样呈现。 */
 function isFallback(error: unknown): boolean {
-  return (
-    error instanceof ApiError &&
-    (['NETWORK', 'TIMEOUT', 'PARSE_FAILED'].includes(error.code) || error.status === 404)
-  )
+  return error instanceof ApiError && ['NETWORK', 'TIMEOUT'].includes(error.code)
+}
+
+function isForbidden(error: unknown): boolean {
+  return error instanceof ApiError && (error.status === 403 || error.code === 'FORBIDDEN')
 }
 
 function teamLabel(teamId: number): string {
@@ -161,11 +164,22 @@ function beats(compare: Event['compare'], value: number, recordValue: number): b
 async function loadRules(): Promise<void> {
   rulesLoading.value = true
   try {
-    rulePack.value = await adminApi.client.rules.get()
-    ruleError.value = null
+    // /api/rules/export 是 admin-only：录入员跳过它，改用下面的只读开关端点，
+    // 否则页面会常驻一条红色「读取规则包失败：无权访问该资源」。
+    if (isAdmin.value) {
+      rulePack.value = await adminApi.client.rules.get()
+      ruleError.value = null
+    } else {
+      rulePack.value = null
+      ruleError.value = null
+    }
   } catch (caught) {
     rulePack.value = null
-    ruleError.value = caught instanceof Error ? caught.message : '无法读取规则包'
+    ruleError.value = isForbidden(caught)
+      ? null
+      : caught instanceof Error
+        ? caught.message
+        : '无法读取规则包'
   } finally {
     rulesLoading.value = false
   }
@@ -459,7 +473,14 @@ watch(
                   >
                     确认加分
                   </button>
-                  <button class="mx-btn mx-btn-ghost mx-btn-sm" type="button" @click="rejectTarget = item">拒绝</button>
+                  <button
+                    class="mx-btn mx-btn-ghost mx-btn-sm"
+                    type="button"
+                    :disabled="!canWrite"
+                    @click="rejectTarget = item"
+                  >
+                    拒绝
+                  </button>
                 </td>
               </tr>
             </tbody>