feat(import): 报名模板按「小项 × 组别」分工作表；号码布判重改认证件号；备份改原子落盘

三件事合成一次提交（其中两件都落在 handlers_config.go，无法按文件拆开）：

一、分工作表报名模板（新增能力）
- 新增 GET /api/entries/template.xlsx：按当前赛事的「小项 × 组别」生成模板，
  一个小项组别一张工作表，工作表名 = <小项>@<组别>（31 字符上限、重名自动去重）。
- 导入解析器认工作表名还原小项 + 组别；若与表内列冲突则报错，不静默取其一。
- 小项名与组别名禁用 @，基础数据界面 / 规则包导入 / 服务端校验三处一并拦截。
- 单表 CSV/XLSX 导入路径不回归。

二、号码布判重（修误判）
- 旧逻辑依赖证件号本身，而证件号是可选字段 → 同一个人报多个项目会被整块拦下。
- 改为：号码布相同且证件号相同 → 判定为同一人报多项，放行；
  号码布相同且证件号都能填且不同 → 仍报错（真抢号）；一方证件号为空 → 放行并给提示。
- 团体行的号码布一并纳入查重。

三、自动备份的关停与落盘（修数据安全隐患）
- export.Service 增加 Wait()：StartAuto 的协程进 WaitGroup，关停时 join（10 秒上限，
  超时只记 WARN 不拖死关闭），不再在备份写到一半时退出。
- vacuumInto 改为先写 <最终名>.tmp-<随机> 再 rename，失败则删临时文件；
  Backup / SafetySnapshot / ExportProjectZip 三个调用方一并受益。
- 新增 isFinalBackupName，ListBackups / safetyCopies / KindOfBackupName 统一过滤中间文件，
  避免半截 .db 被列进备份列表、进而被「一键恢复」选中。

文档：docs/ 五份（使用手册 / 报名名单导入规范 / 升级说明 / 部署指南 / 上线检查清单）同步。

web/src/shared/api.ts

@@ -312,6 +312,14 @@ export interface EntriesApi {
    * 只改录入分组，不影响任何成绩与积分。
    */
   setHeat(payload: EntryHeatPayload): Promise<EntryHeatResult>
+  /**
+   * 「按小项 × 组别分工作表」的报名模板（xlsx），服务端按当前赛事的基础数据生成。
+   *
+   * language 只决定表头语言（zh 用中文列名、en 用英文规范名），与单表 CSV 模板的两个按钮同一套口径。
+   * 服务端还会拒绝生成：名字里带 @ 的小项 / 组别、或者还没有任何「小项 + 组别」组合时，
+   * 回的是一份 {ok:false} 的说明，调用方按普通 ApiError 展示即可。
+   */
+  downloadTemplate(language: 'zh' | 'en'): Promise<Blob>
 }
 
 /** POST /api/uploads 的响应：path 是服务端存储后的路径，url 与其相同，可直接放进 <img src>。 */
@@ -470,6 +478,7 @@ interface Http {
   requestVoid(path: string, options?: RequestOptions): Promise<void>
   requestJson(path: string, options?: RequestOptions): Promise<unknown>
   requestText(path: string, options?: RequestOptions): Promise<string>
+  requestBlob(path: string, options?: RequestOptions): Promise<Blob>
 }
 
 function createCrudApi<T, Input>(http: Http, base: string): CrudApi<T, Input> {
@@ -876,6 +885,7 @@ export class ApiClient {
       requestVoid: (path, requestOptions) => this.requestVoid(path, requestOptions),
       requestJson: (path, requestOptions) => this.requestJson(path, requestOptions),
       requestText: (path, requestOptions) => this.requestText(path, requestOptions),
+      requestBlob: (path, requestOptions) => this.requestBlob(path, requestOptions),
     }
 
     this.auth = {
@@ -919,6 +929,8 @@ export class ApiClient {
       },
       setHeat: (payload) =>
         http.request<EntryHeatResult>('/entries/heat', { method: 'PUT', body: payload }),
+      downloadTemplate: (language) =>
+        http.requestBlob('/entries/template.xlsx', { query: { lang: language }, timeoutMs: 60_000 }),
     }
 
     this.results = createResultsApi(http)
@@ -1055,6 +1067,26 @@ export class ApiClient {
     return response.text()
   }
 
+  /**
+   * 二进制下载（xlsx / zip）：成功回 Blob，失败仍按 {ok,error} 解析后抛 ApiError。
+   *
+   * 不能直接把下载地址塞进 <a href>：服务端拒绝下载时回的是一份 JSON 错误体，
+   * 浏览器会把它当文件存下来，现场看到的是一个「下载成功了的报错文件」。
+   */
+  private async requestBlob(path: string, options: RequestOptions = {}): Promise<Blob> {
+    const response = await this.send(path, options)
+    if (!response.ok) {
+      const body = await readBody(response)
+      if (response.status === 401) {
+        const error = this.toApiError(body, response.status)
+        this.notifyUnauthorized(error)
+        throw error
+      }
+      throw this.toApiError(body, response.status)
+    }
+    return response.blob()
+  }
+
   private async send(path: string, options: RequestOptions): Promise<Response> {
     const method: HttpMethod = options.method ?? 'GET'
     // 一次调用只用**一个**幂等键，header 与 body 共用它。