fix: P0 计分根因 + 奖牌结算/奖牌通道 + 身份口径改回证件号 + 19 条 P1（dev_0.1.8）

## P0：双通道项目重复发布跳分（45→85→收敛）
results.rank 一列同时充当「个人名次输出」「手工名次输入」「榜单数据源」，
团体手工通道把个人名次当团体名次又按团体表发一遍分。
- 新增 channel_ranks（每个计分通道各自持久化名次，发布时全量重建）
  与 channel_manual_ranks（按单位录入的团体手工名次，故意不挂通道外键，
  避免规则包重导时级联删掉录入数据）
- results.rank 语义收窄为「只表示个人名次」，只由 scope=athlete 通道写回；
  团体手工名次的来源改为 TeamRanks 优先、团体报名项兜底，
  个人报名项的名次绝不进团体通道
- writeLedgerTx 内重建 channel_ranks；buildRanked / export.loadRanked /
  realtime.loadRanked 三份同源 SQL 一起改读新表
- 回归：发布两次流水与名次逐字节一致（domain + httpapi 各一条，含变异验证）

## 奖牌结算开关与奖牌通道（P1(5)，新功能）
- events.award_medals + 通道 count_to_medals / count_to_team_medals
  （迁移默认 1，升级不改变既有榜单）
- 单位榜入选 = 小项结算奖牌 && 通道发奖牌 && 前三名 &&（团体项目 || 个人奖牌并入单位）
- 个人榜只取个人通道；金牌榜与积分榜同源同数据、按通道过滤独立计算
- 前端：小项「该项启用奖牌结算」、通道「发奖牌/个人奖牌并入单位金牌榜」、
  录入页新增「团体名次」区块（含新接口 GET/PUT .../team-ranks）

## 身份口径改回证件号（P1(15)，推翻第三十六轮）
- 匹配顺序恢复 证件号 → 号码布 → 姓名+单位；新增 athleteByIDCard
- 同表重复证件号 = 同一人报多个组别（notices 提示，不报错）；
  只有「同证件号 + 同小项同组别」才是真重复（conflicts[].duplicate）
- 补齐后端缺失但前端/文档已在依赖的三处契约

## 其余 P1
- 安全：会话撤销断开 ws、实时层按角色裁剪、整库快照限流（含 hello 路径，
  被限流的请求挂起并由心跳兜底补发，不丢刷新）
- 错误分级：手填名次非正数 / gender / 组别年龄 / 导出不存在的小项与单位 /
  积分模板 awardRanks → 400 或 404，不再 500
- 算分一致性：破纪录加分看得失状态；批量退赛·恢复·移出、作废成绩、
  报名导入改状态一律无条件重算推榜（不受延迟结算约束，与实时模式逐字节等价）
- 配置改动触发重算：通道 / 小项参数 / 积分模板
- 升级自愈：channel_ranks 空而已有已发布成绩时，启动时一次性全量重算
  （服务对外监听之前完成，避免升级后奖牌榜全 0）
- 示例数据模式下破坏性操作被阻断，不再假成功
- Console：修复「只剩一块屏」后屏幕监听器被永久摘掉
- 大屏模板引擎：嵌套深度与体积安全阀，任何输入都不抛异常

## 文档
- docs/：使用手册（奖牌开关、奖牌通道、团体名次、枚举列留空口径）、
  常见问题（奖牌排查、升级后奖牌榜为 0、历史重放已知限制）、
  部署指南、上线检查清单
- 版本 dev_0.1.7 → dev_0.1.8（console/package.json 同步）

自检：服务端 13 包 ×2 全绿；前端 vue-tsc + 449 例 ×2 + pnpm build；
Console 35 例 + 语法检查。

server/internal/auth/auth.go

@@ -477,6 +477,32 @@ func (s *Service) RevokeUserSessions(ctx context.Context, userID int64) error {
 	return err
 }
 
+// SessionActive 判定一条会话现在是否仍然可用：会话行还在、未过期、用户未停用。
+//
+// 判定口径与 Lookup 完全一致（同样是 JOIN users 并比对 expires_at），但不做滑动续期、
+// 也不回写 last_seen_at：它只回答「这条会话还在不在」，供 /ws 长连接周期性复查。
+// 撤销类操作（登出、改密、管理员重置密码、停用用户）都会删掉会话行或停用用户，
+// 因此这里查不到即为失效。查询失败按错误返回，由调用方决定断开还是保留连接。
+func (s *Service) SessionActive(ctx context.Context, sessionID string) (bool, error) {
+	if strings.TrimSpace(sessionID) == "" {
+		return false, nil
+	}
+	var one int
+	err := s.db.QueryRowContext(ctx,
+		`SELECT 1 FROM sessions s
+		   JOIN users u ON u.id = s.user_id
+		  WHERE s.id = ? AND s.expires_at > ? AND u.active = 1`,
+		sessionID, s.now().UTC().Format(time.DateTime)).Scan(&one)
+	switch {
+	case errors.Is(err, sql.ErrNoRows):
+		return false, nil
+	case err != nil:
+		return false, fmt.Errorf("复查会话: %w", err)
+	default:
+		return true, nil
+	}
+}
+
 func (s *Service) createSession(ctx context.Context, userID int64, ip, userAgent string) (string, *Session, error) {
 	token, err := randomToken(32)
 	if err != nil {

server/internal/auth/session_ttl_test.go

@@ -158,6 +158,61 @@ func TestLookupTouchThrottleKeepsLongLivedSession(t *testing.T) {
 	}
 }
 
+// 会话复查：/ws 长连接靠它判断背后的会话是否还有效。撤销（登出 / 改密 / 管理员重置密码 /
+// 停用用户）与到期都必须判为失效，否则被停用的人只要不关页面就能一直收推送。
+func TestSessionActiveTracksRevocation(t *testing.T) {
+	now := time.Date(2026, 9, 11, 20, 0, 0, 0, time.UTC)
+	for _, tc := range []struct {
+		name      string
+		sessionID string
+		prepare   func(t *testing.T, db *sql.DB)
+		want      bool
+	}{
+		{"有效会话", "sid", nil, true},
+		{"会话被撤销（登出 / 改密 / 重置密码都删行）", "sid", func(t *testing.T, db *sql.DB) {
+			execTest(t, db, `DELETE FROM sessions`)
+		}, false},
+		{"会话已过期", "sid", func(t *testing.T, db *sql.DB) {
+			setExpiry(t, db, now.Add(-time.Second))
+		}, false},
+		{"用户已停用", "sid", func(t *testing.T, db *sql.DB) {
+			execTest(t, db, `UPDATE users SET active = 0`)
+		}, false},
+		{"会话 id 未知", "other", nil, false},
+		{"会话 id 为空", "", nil, false},
+	} {
+		t.Run(tc.name, func(t *testing.T) {
+			db := newSettingsDB(t, nil)
+			svc := New(db, Options{Logger: quietLogger(), SessionTTL: time.Hour,
+				Now: func() time.Time { return now }})
+			userID := insertUser(t, db, "admin")
+			insertSession(t, db, userID, now.Add(time.Hour))
+			if tc.prepare != nil {
+				tc.prepare(t, db)
+			}
+
+			got, err := svc.SessionActive(context.Background(), tc.sessionID)
+			if err != nil {
+				t.Fatalf("复查会话: %v", err)
+			}
+			if got != tc.want {
+				t.Fatalf("SessionActive = %v，期望 %v", got, tc.want)
+			}
+			// 复查是只读判定：不能顺延到期时间，也不能回写活动时间。
+			if tc.want && dbExpiry(t, db) != now.Add(time.Hour).Format(time.DateTime) {
+				t.Fatalf("复查不该写库，库里到期时间是 %s", dbExpiry(t, db))
+			}
+		})
+	}
+}
+
+func execTest(t *testing.T, db *sql.DB, query string, args ...any) {
+	t.Helper()
+	if _, err := db.Exec(query, args...); err != nil {
+		t.Fatalf("执行 %s: %v", query, err)
+	}
+}
+
 // 越过节流窗口后再次顺延：单独跑一遍，避免上面的用例把它和活动时间混在一起。
 func TestLookupRenewsAfterThrottleWindow(t *testing.T) {
 	db := newSettingsDB(t, nil)