fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）

P0（9 条全修）：
- 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重，
  通道优先级 athlete→team→id
- 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一
- aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位
- 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑
- voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks
- 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚
- 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400
- Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底
- /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings

P1（计分口径 / 契约 / 现场）：
- standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验
  RecordEligible 与 entry 归属；破纪录登记校验已发布成绩
- export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正
  （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示
- 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/
  recalculatedLedgerRows；登录审计 user_id 修正
- WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId；
  实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新
- 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断；
  REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出
- 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端
  points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护；
  发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口
- Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII
  （已在 Meowhome 实跑验证）

自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、
node --test 24/24；console check-syntax 12 文件通过。

web/src/shared/tests/realtime.test.ts

@@ -0,0 +1,164 @@
+import { test } from 'node:test'
+import assert from 'node:assert/strict'
+import { RealtimeClient } from '../realtime'
+
+class FakeSocket {
+  static readonly CONNECTING = 0
+  static readonly OPEN = 1
+  static readonly CLOSED = 3
+  static instances: FakeSocket[] = []
+
+  readyState = FakeSocket.CONNECTING
+  onopen: (() => void) | null = null
+  onmessage: ((event: { data: unknown }) => void) | null = null
+  onerror: (() => void) | null = null
+  onclose: ((event: { code: number }) => void) | null = null
+  readonly url: string
+  readonly sent: string[] = []
+
+  constructor(url: string) {
+    this.url = url
+    FakeSocket.instances.push(this)
+  }
+
+  send(data: string): void {
+    this.sent.push(data)
+  }
+
+  close(): void {
+    this.readyState = FakeSocket.CLOSED
+    this.onclose?.({ code: 1006 })
+  }
+
+  open(): void {
+    this.readyState = FakeSocket.OPEN
+    this.onopen?.()
+  }
+
+  emit(event: string, data: unknown): void {
+    this.onmessage?.({ data: JSON.stringify({ event, data }) })
+  }
+
+  drop(code: number): void {
+    this.readyState = FakeSocket.CLOSED
+    this.onclose?.({ code })
+  }
+}
+
+function installFakeWebSocket(): void {
+  FakeSocket.instances = []
+  ;(globalThis as { WebSocket?: unknown }).WebSocket = FakeSocket
+}
+
+function firstSocket(): FakeSocket {
+  const socket = FakeSocket.instances[0]
+  assert.ok(socket)
+  return socket
+}
+
+// P0-1：服务端在客户端版本超前（换库 / 还原备份后 change_log 归零）时也会发快照，
+// 若按版本号丢弃，大屏会永久冻结在旧数据上。
+test('快照版本低于本地缓存也接受，并把版本重置到快照', () => {
+  installFakeWebSocket()
+  const seen: number[] = []
+  const client = new RealtimeClient({
+    role: 'display',
+    url: 'ws://test/ws',
+    initialVersion: 500,
+    onSnapshot: (snapshot) => seen.push(snapshot.version),
+  })
+  client.connect()
+  firstSocket().open()
+  firstSocket().emit('snapshot', { version: 3 })
+
+  assert.deepEqual(seen, [3])
+  assert.equal(client.version, 3)
+  client.close()
+})
+
+// P1-22：Console 的「已连接大屏实例」靠 hello 里的 page / instanceId 定位。
+test('hello 上报 page 与 instanceId，翻页后补发', () => {
+  installFakeWebSocket()
+  const client = new RealtimeClient({
+    role: 'display',
+    url: 'ws://test/ws',
+    instanceId: 'screen-1',
+    page: 'standings',
+  })
+  client.connect()
+  const socket = firstSocket()
+  socket.open()
+
+  assert.deepEqual(JSON.parse(socket.sent[0] ?? '{}'), {
+    event: 'hello',
+    data: { role: 'display', instanceId: 'screen-1', page: 'standings' },
+  })
+
+  socket.sent.length = 0
+  client.setPage('team-medals')
+  assert.equal(JSON.parse(socket.sent[0] ?? '{}').data.page, 'team-medals')
+  client.close()
+})
+
+// P1-17：策略性拒绝（1008）重连也会被同样拒绝，必须停重连并提示登录。
+test('close 1008 停止重连并回调 onAuthRequired', async () => {
+  installFakeWebSocket()
+  let authRequired = 0
+  const client = new RealtimeClient({
+    role: 'admin',
+    url: 'ws://test/ws',
+    reconnect: { baseDelayMs: 5, maxDelayMs: 5, jitterRatio: 0 },
+    onAuthRequired: () => {
+      authRequired += 1
+    },
+  })
+  client.connect()
+  const socket = firstSocket()
+  socket.open()
+  socket.drop(1008)
+
+  assert.equal(authRequired, 1)
+  assert.equal(client.status, 'offline')
+  await new Promise((resolve) => setTimeout(resolve, 30))
+  assert.equal(FakeSocket.instances.length, 1)
+  client.close()
+})
+
+// P1-34：半开握手不触发 onopen/onclose，必须靠握手超时判死。
+test('握手超时主动断开并重连', async () => {
+  installFakeWebSocket()
+  const errors: string[] = []
+  const client = new RealtimeClient({
+    role: 'display',
+    url: 'ws://test/ws',
+    handshakeMs: 10,
+    reconnect: { baseDelayMs: 5, maxDelayMs: 5, jitterRatio: 0 },
+    onError: (error) => errors.push(error.message),
+  })
+  client.connect()
+  await new Promise((resolve) => setTimeout(resolve, 40))
+
+  assert.ok(errors.some((message) => message.includes('握手超时')))
+  assert.ok(FakeSocket.instances.length >= 2)
+  client.close()
+})
+
+// P2-13：没有快照基准时不能直接合并 catchup。
+test('没有快照基准时收到 catchup 先请求全量', () => {
+  installFakeWebSocket()
+  const catchups: unknown[] = []
+  const client = new RealtimeClient({
+    role: 'display',
+    url: 'ws://test/ws',
+    onCatchup: (message) => catchups.push(message),
+  })
+  client.connect()
+  const socket = firstSocket()
+  socket.open()
+  socket.sent.length = 0
+  socket.emit('catchup', { fromVersion: 0, version: 5, changes: [] })
+
+  assert.equal(catchups.length, 0)
+  assert.ok(socket.sent.some((raw) => raw.includes('"resync"')))
+  client.close()
+})