feat(import): 报名模板按「小项 × 组别」分工作表；号码布判重改认证件号；备份改原子落盘

三件事合成一次提交（其中两件都落在 handlers_config.go，无法按文件拆开）：

一、分工作表报名模板（新增能力）
- 新增 GET /api/entries/template.xlsx：按当前赛事的「小项 × 组别」生成模板，
  一个小项组别一张工作表，工作表名 = <小项>@<组别>（31 字符上限、重名自动去重）。
- 导入解析器认工作表名还原小项 + 组别；若与表内列冲突则报错，不静默取其一。
- 小项名与组别名禁用 @，基础数据界面 / 规则包导入 / 服务端校验三处一并拦截。
- 单表 CSV/XLSX 导入路径不回归。

二、号码布判重（修误判）
- 旧逻辑依赖证件号本身，而证件号是可选字段 → 同一个人报多个项目会被整块拦下。
- 改为：号码布相同且证件号相同 → 判定为同一人报多项，放行；
  号码布相同且证件号都能填且不同 → 仍报错（真抢号）；一方证件号为空 → 放行并给提示。
- 团体行的号码布一并纳入查重。

三、自动备份的关停与落盘（修数据安全隐患）
- export.Service 增加 Wait()：StartAuto 的协程进 WaitGroup，关停时 join（10 秒上限，
  超时只记 WARN 不拖死关闭），不再在备份写到一半时退出。
- vacuumInto 改为先写 <最终名>.tmp-<随机> 再 rename，失败则删临时文件；
  Backup / SafetySnapshot / ExportProjectZip 三个调用方一并受益。
- 新增 isFinalBackupName，ListBackups / safetyCopies / KindOfBackupName 统一过滤中间文件，
  避免半截 .db 被列进备份列表、进而被「一键恢复」选中。

文档：docs/ 五份（使用手册 / 报名名单导入规范 / 升级说明 / 部署指南 / 上线检查清单）同步。

server/main.go

@@ -210,6 +210,35 @@ func main() {
 	if err := srv.Shutdown(shutdownCtx); err != nil {
 		logger.Error("关闭超时", "err", err)
 	}
+
+	// 自动备份协程必须在这里 join，否则进程可能在 VACUUM INTO 中途退出。
+	// 它不等锁吗？会等：源库被别的连接锁着时，VACUUM INTO 会带着一个 0 字节的目标文件
+	// 在那里等锁（直到 busy_timeout）——进程此时退出，那个半截文件就留在备份目录里。
+	// 上限 10 秒是给「卡在锁上」留的（SQLite busy_timeout 5 秒）；大库的 VACUUM 也可能更久，
+	// 但 Console 的关闭握手等不起，超时就照常退出：残余的只会是一个中间文件
+	// <备份名>.tmp-<随机>，它不在备份列表里，也没人会拿它去恢复。
+	if !waitBackupStop(backupSvc, 10*time.Second) {
+		logger.Warn("自动备份未在限期内收尾，先退出；残余的中间文件不会出现在备份列表里")
+	}
+}
+
+// waitBackupStop 在退出前 join 自动备份协程，最多等 timeout；返回 false 表示等超时了。
+//
+// 没起过自动备份（间隔 <=0、没配数据目录）时立即返回 true：正常关停不会被它拖住。
+func waitBackupStop(svc *export.Service, timeout time.Duration) bool {
+	done := make(chan struct{})
+	go func() {
+		svc.Wait()
+		close(done)
+	}()
+	timer := time.NewTimer(timeout)
+	defer timer.Stop()
+	select {
+	case <-done:
+		return true
+	case <-timer.C:
+		return false
+	}
 }
 
 // initialAdminBanner 组装初始管理员提示块：初始密码只在这里一次性输出，不写入结构化日志。