feat: 补齐第一批已知缺口（关闭握手 / 定时备份 / Origin 白名单 / DTO 收敛）

- httpapi：新增 POST /api/shutdown（admin 会话或 X-Shutdown-Token 常量时间比对）
  与 GET /api/rules/switches（recorder 可读，只回布尔开关）；settings/standings 的
  重复 DTO 收敛到 internal/dto；standings.showIndividualMedals 贯通到设置读写与前端
- export：抽出 export.Service，新增自动备份定时任务（backup.intervalMinutes/keep），
  自动、手动、发布前三类备份共用同一把互斥锁与滚动清理
- realtime：/ws 去掉 InsecureSkipVerify，改用 OriginPatterns（同源与无 Origin 放行，
  跨站需命中 server.allowedOrigins）
- console：停止服务改走 POST /api/shutdown 优雅关闭（5 秒宽限后回退强杀），
  服务管理器新增「已连接的大屏实例」卡片
- deploy：build.bat 改用 for /f 读内部署名——set /p 在 chcp 65001 下返回空，
  导致最近这次构建的 exe 里根本没注入署名
- docs：备份策略、关闭超时、Origin 配置的说明与实现对齐

console/README.md

@@ -1,12 +1,13 @@
 # Scoreboard Console
 
-赛事积分榜系统的桌面宿主（Electron）。它只做五件事：
+赛事积分榜系统的桌面宿主（Electron）。它只做六件事：
 
 1. 拉起并守护同目录（或配置指定）的 `scoreboard.exe`，把它的 stdout/stderr 接管到管理窗口与日志文件；
 2. 用 `screen.getAllDisplays()` 枚举显示器，把大屏页面投到扩展屏；
 3. `powerSaveBlocker.start('prevent-display-sleep')` 防熄屏；
 4. 提供启动/停止/状态/日志的管理 GUI 和托盘菜单；
-5. 打包后随系统启动，现场断电重启后无需人工干预。
+5. 打包后随系统启动，现场断电重启后无需人工干预；
+6. 在服务管理窗口展示服务端在线的大屏实例（`GET /api/display/instances`）。
 
 规范来源：`devdocs/06-大屏端设计.md` 第 6 节、`devdocs/10-部署与现场方案.md` 第 4 节。
 
@@ -20,6 +21,7 @@ console/
 │   ├── index.js          # 应用入口：窗口 / 托盘 / IPC / 生命周期
 │   ├── config.js         # 配置加载与合并、exe 路径解析
 │   ├── service.js        # 服务端子进程守护：spawn / 日志转发 / 健康检查 / 自动重启
+│   ├── instances.js      # 已连接大屏实例看板：复用管理面板登录态读 /api/display/instances
 │   ├── account.js        # 管理员账号重置：参数校验 + 调 scoreboard.exe passwd
 │   ├── displays.js       # 大屏窗口管理：选屏、kiosk、排布、24h 重载
 │   ├── log-bus.js        # 日志环形缓冲 + 落文件 + 广播
@@ -77,7 +79,8 @@ scoreboard-windows-amd64/
 | 防熄屏 | Console 启动即生效，退出时释放；前台后台都算 |
 | 服务端就绪 | 首次 `/api/health` 通过后开大屏窗口；等待超过 `display.waitForServerMs` 也先开，避免现场只见桌面 |
 | 服务端崩溃 | 按 `restartDelayMs` 递增退避自动重启（`maxRestarts=0` 为无限）；持续健康 `healthyResetMs` 后崩溃计数清零；恢复健康后自动重载大屏 |
-| 停止服务 | 先 `POST server.shutdownPath` 请求服务端优雅关闭，`shutdownTimeoutMs` 内未退出再强杀；接口不可用时回退进程信号 |
+| 停止服务 | 先 `POST server.shutdownPath` 并带 `X-Shutdown-Token`（启动时用 `crypto.randomBytes(32)` 生成，经环境变量 `SCOREBOARD_SHUTDOWN_TOKEN` 只交给该子进程）请求服务端优雅关闭；受理后最多等 `shutdownTimeoutMs`，超时或接口不可用（404/连接失败）再强杀 |
+| 已连接大屏实例 | 管理窗口打开时每 5 秒读一次服务端 `GET /api/display/instances`（复用管理面板的 `scoreboard_session` Cookie，需记录员及以上），显示实例数、页面名与在线状态；窗口隐藏即停表，未登录/服务未启动时显示占位文案 |
 | 关管理窗口 | 只隐藏到托盘，服务端继续运行；退出必须走托盘「退出」 |
 | 开机自启 | 打包后在 Windows/macOS 上注册（`startup.openAtLogin`，默认开），开发态不注册 |
 | 窗口外观 | 管理窗口与服务端管理面板窗口都是 `frame: false` 无边框，标题栏与最小化/最大化/关闭三键由页面自绘（拖拽区 `-webkit-app-region: drag`，按钮 `no-drag`，双击标题栏切最大化，关闭键 hover 变红） |
@@ -96,8 +99,8 @@ scoreboard-windows-amd64/
 | `server.healthIntervalMs` | `5000` | 健康检查间隔 |
 | `server.restartDelayMs` | `3000` | 重启基础退避，每次翻倍，最多 5 倍 |
 | `server.maxRestarts` | `0` | 0 = 无限重启 |
-| `server.shutdownPath` | `/api/shutdown` | 优雅关闭握手接口（需服务端实现），不可用时回退进程信号 |
-| `server.shutdownTimeoutMs` | `12000` | 等待优雅关闭的上限，超过则强杀 |
+| `server.shutdownPath` | `/api/shutdown` | 优雅关闭握手接口（需服务端实现并校验 `X-Shutdown-Token`），不可用时回退强杀 |
+| `server.shutdownTimeoutMs` | `5000` | 服务端受理关闭请求后等待其自行退出的上限，超过则强杀 |
 | `server.healthyResetMs` | `60000` | 连续健康多久后清零崩溃计数 |
 | `display.selection` | `all-secondary` | `all-secondary` / `all` / `specified` |
 | `display.displays` | `[]` | `specified` 时生效，填 display id 或 0 起序号 |