feat(import): 报名模板按「小项 × 组别」分工作表；号码布判重改认证件号；备份改原子落盘

三件事合成一次提交（其中两件都落在 handlers_config.go，无法按文件拆开）：

一、分工作表报名模板（新增能力）
- 新增 GET /api/entries/template.xlsx：按当前赛事的「小项 × 组别」生成模板，
  一个小项组别一张工作表，工作表名 = <小项>@<组别>（31 字符上限、重名自动去重）。
- 导入解析器认工作表名还原小项 + 组别；若与表内列冲突则报错，不静默取其一。
- 小项名与组别名禁用 @，基础数据界面 / 规则包导入 / 服务端校验三处一并拦截。
- 单表 CSV/XLSX 导入路径不回归。

二、号码布判重（修误判）
- 旧逻辑依赖证件号本身，而证件号是可选字段 → 同一个人报多个项目会被整块拦下。
- 改为：号码布相同且证件号相同 → 判定为同一人报多项，放行；
  号码布相同且证件号都能填且不同 → 仍报错（真抢号）；一方证件号为空 → 放行并给提示。
- 团体行的号码布一并纳入查重。

三、自动备份的关停与落盘（修数据安全隐患）
- export.Service 增加 Wait()：StartAuto 的协程进 WaitGroup，关停时 join（10 秒上限，
  超时只记 WARN 不拖死关闭），不再在备份写到一半时退出。
- vacuumInto 改为先写 <最终名>.tmp-<随机> 再 rename，失败则删临时文件；
  Backup / SafetySnapshot / ExportProjectZip 三个调用方一并受益。
- 新增 isFinalBackupName，ListBackups / safetyCopies / KindOfBackupName 统一过滤中间文件，
  避免半截 .db 被列进备份列表、进而被「一键恢复」选中。

文档：docs/ 五份（使用手册 / 报名名单导入规范 / 升级说明 / 部署指南 / 上线检查清单）同步。

server/internal/rules/validate.go

@@ -101,9 +101,11 @@ func (p *RulePack) Validate() error {
 
 // ValidateForImport 是导入侧在 Validate 之外额外拦下的「这份配置根本算不出分」检查。
 //
-// 目前只有一条：分值表的档位超出录取档位数（awardRanks）。见 AwardRanksOverflow。
+// 两条：分值表的档位超出录取档位数（awardRanks，见 AwardRanksOverflow），
+// 以及小项名里出现分工作表模板的分隔符 @（见 eventOverrides[].name）。
 // 单独成一个方法而不是塞进 Validate，是因为 Validate 同时被导出路径用着——历史库里已经存在的
-// 越档模板必须照样能导出（否则备份与规则导出会 500），但绝不能再从导入这条路进来。
+// 越档模板必须照样能导出（否则备份与规则导出会 500），但绝不能再从导入这条路进来；
+// 名字里带 @ 的历史规则包同理：还能导出、还能留在库里，但不许再导进来。
 func (p *RulePack) ValidateForImport() error {
 	var l issueList
 	for i, prof := range p.Profiles {
@@ -118,12 +120,29 @@ func (p *RulePack) ValidateForImport() error {
 			l.addf(fmt.Sprintf("profiles[%d].awardRanks", i), "%s", msg)
 		}
 	}
+	// 规则包里的小项名（eventOverrides[].name）会随规则包一起被现场复用到别的赛事，
+	// 而它正是「小项名称@组别名称」的一半：名字里带 @，那个赛事的分工作表模板就生成不出来。
+	for i, ov := range p.EventOverrides {
+		if strings.IndexAny(ov.Name, "@＠") < 0 {
+			continue
+		}
+		l.addf(fmt.Sprintf("eventOverrides[%d].name", i), "%s", ruleNameSeparatorMessage(ov.Name))
+	}
 	if len(l.issues) > 0 {
 		return &ValidationError{Issues: l.issues}
 	}
 	return nil
 }
 
+// ruleNameSeparatorMessage 与 httpapi 的 atSignNameMessage 是同一件事的同一句话
+// （规则包属于 rules 包、接口层属于 httpapi 包，两边不互相 import，只能各写一份）。
+// 改这里必须同步改 server/internal/httpapi/entries_sheet_template.go 的那份。
+func ruleNameSeparatorMessage(name string) string {
+	return fmt.Sprintf("小项名称「%s」里不能有 @（也不能有全角 ＠）：@ 是分工作表报名模板里"+
+		"「小项名称@组别名称」的分隔符，写进名字会让工作表名拆不开、模板生成不出来。"+
+		"请把规则包里这个名字改成与现场一致、且不含 @ 的写法", name)
+}
+
 func validateTieBreak(l *issueList, tieBreak []string) {
 	seen := make(map[string]bool, len(tieBreak))
 	for i, key := range tieBreak {