feat: 备份恢复 / 图片清理 / 单位恢复 / 审计过滤 / 模板引擎 M1 + 两个导入缺陷修复

用户点名的三件事（模板功能、删死代码、剩余缺口）这一批全部落地，另修掉两个刚暴露的导入缺陷：

**新增能力**
- 备份恢复：`POST /api/backup/restore`（admin）。先把校验做在拍快照之前（只读打开 + integrity_check +
  关键表校验 + 异类库标志表互斥），再用 VACUUM INTO 拍「恢复前安全副本」，然后关连接、整文件替换、
  触发优雅重启；`-wal` 还在时直接拒绝（宁可失败也不让旧库 WAL 套到新库上）；恢复后审计直写"恢复之后
  还在的那份库"（不走通用 Auditor，否则记录只会落在被替换掉的旧文件上）。顺带修掉：裸服务端连续恢复
  第二次会在拍副本处崩出一句看不懂的 500，现在回 503「上次恢复后尚未重启，请先重启服务端」。
- 安全副本保留策略：每类库保留最近 5 份，独立于 .db 的 20 份滚动清理。
- 图片管理：`DELETE /api/uploads/{name}`（被引用 409 并列出引用点）、`GET /api/uploads/orphans`、
  `POST /api/uploads/orphans/delete`（只删列出的孤儿，宁漏勿误），全部 admin（与字体删除同档）；
  `deploy/backup.bat` 补上 uploads/ 归档（logs 不归档：可再生的诊断且会无上限增长）。
- 已彻底删除单位的恢复：`POST /api/teams/{id}/restore`（与 hideTeam 同档）。幂等；恢复不会把「停用」
  变成「启用」；真机确认恢复前后榜单逐字节一致、change_log 最大值不变（数据一行没动，不需要重算）。
  界面加「显示已彻底删除的单位」（仅 admin）与恢复按钮；非 admin 的删除确认框里写明"本账号无法自行恢复"。
- 审计日志按 `action` 过滤（子串模糊，输入里的 %/_/\ 转义成字面量）。
- 删除死表 recent_projects（新增 system 迁移 0006，未动已应用的迁移）。
- points_override 不再"设了没效果"：写入侧 400 + 引擎侧守卫，提示改用「积分调整」。
- 联队份额空壳清理（UnionAttribution/UnionSplit/Entry.TeamShares/resolvedShares 等；TeamShare 类型保留，
  因为 export/realtime/奖牌流水三处在生产路径上构造它）。
- 自定义大屏模板 M1：插值引擎（parseTemplate/renderTemplate），任何情况都不抛异常、未定义→空串+警告、
  警告按 (code,path) 合并计数、无 eval/innerHTML，57 个新用例。

**两个真缺陷（前两个已随 0.1.6 出包）**
- 基础数据包导入「排序」列口径不一致：小项/组别留空保持原值，单位/大项留空被写成 0（plan 没从库里
  现值起手）→ 四张表统一为「留空保持原值」。
- 同类第二处：布尔列「整列被删掉」被当成"取默认值"，会把库里所有停用的单位/大项静默改回启用 →
  改为「缺列 = 不动」（写侧与解析侧都收口，补了"缺列保持/空格子=是/显式否=停用"三组对照用例）。

**删死代码**
- createEntry / updateEntry / deleteEntry / entryEventID / checkCategoryInEvent / getEntry /
  normalizeEntryStatus / ExportBaseDataXLSX（全仓 grep 零引用）。⚠️ 随之记入文档：「组别必须属于该小项」
  这道校验现在只由导入路径"按小项+组别名解析"天然保证，将来若新增从请求体接收 categoryId 的接口，
  必须自己补校验（库层没有复合外键）。

**文档**
- devdocs 全面同步（01/02/03/04/05/06/07/09/11/12/13/README；含身份口径、延迟结算、大屏单栏新版式、
  新增路由与设置键、R18/R19 风险）；docs 复核 + 第二轮（身份口径三个易写反的分支、图片删除、备份覆盖、
  审计过滤、单位恢复、去掉硬编码版本号、上线检查清单 +5 项）；debug/使用说明 6 份逐份 diff 一致。

测试：服务端 13 包（连跑两遍）、前端 406 例、Console 28 例 + 18 文件语法检查 —— 全绿。
版本号 dev_0.1.6 → dev_0.1.7。

docs/常见问题.md

@@ -174,7 +174,7 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 **Q36：换一台机器还要重新传字体吗？**
 不用。字体文件就在当前赛事项目的 `uploads\fonts\` 里，所以**导出赛事项目包（zip）会连字体一起带走**，导入到另一台机器后直接可用、不用重新上传；字体设置存在赛事库里，也随包走（见 Q43）。
 
-只有一个小陷阱：`backups\` 里的 `.db` 快照**不含**字体这些上传文件（见 Q37），如果只拷数据库快照换机器，字体就没了——记得把 `event_projs\<项目名>\uploads\` 一起拷（见 Q54）。
+只有一个小陷阱：`backups\` 里的 `.db` 快照**不含**字体这些上传文件（见 Q37），如果只拷数据库快照换机器，字体就没了——记得把 `event_projs\<项目名>\uploads\` 一起拷（见 Q41）。
 
 ---
 
@@ -185,16 +185,18 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 
 文件是数据库快照，命名形如 `system-<原因>-<时间戳>.db` 与 `event-<原因>-<时间戳>.db`：`system` 是系统库（账号、会话），`event` 是赛事库（成绩、积分、报名、基础数据），原因是 `auto` / `manual` / `publish`，时间戳是「年月日-时分秒」，例如 `event-publish-20260910-120500.db`。
 
-> 备份里只有数据库，**上传的图片与字体**（赛事会标、大屏背景图、单位 logo、自定义字体）不在其中，它们在 `data\event_projs\<项目名>\uploads\` 里（字体在 `uploads\fonts\`），需要另外归档。
+> 备份里只有数据库，**上传的图片与字体**（赛事会标、大屏背景图、单位 logo、自定义字体）不在其中，它们在 `data\event_projs\<项目名>\uploads\` 里（字体在 `uploads\fonts\`），需要另外归档。部署目录下的 `deploy\backup.bat` 除了 `.db` 快照，**还会把每个项目的 `uploads\` 打成 `<项目名>-uploads-<时间戳>.zip`**；该 zip **不在 20 份滚动清理范围内**（清理只认 `.db`），要手工删旧的（见 Q39）。「一键恢复」也只换数据库文件，不会带回图片。
 
 **Q38：多久备份一次？**
 服务端会自动备份，默认每 5 分钟一次（`config.yaml` 的 `backup.intervalMinutes`，设成 `0` 可关闭）。也可以手动触发：管理端「系统设置 → 备份 → 立即备份」，或执行 `scoreboard.exe backup -config "%LOCALAPPDATA%\ScoreboardConsole\config.yaml" -data "%LOCALAPPDATA%\ScoreboardConsole\data"`（部署目录下的 `deploy\backup.bat` 已经带好这些路径）。另外每次发布成绩前会自动备一份。
 
 **Q39：备份会自动删除旧的么？**
-会。自动、手动、命令行三种方式都按 `backup.keep`（默认 20 份）滚动保留，`system` 库与赛事库各自计算。
+会。自动、手动、命令行三种方式都按 `backup.keep`（默认 20 份）滚动保留，`system` 库与赛事库各自计算。⚠️ 但 `deploy\backup.bat` 另外产出的 `*-uploads-*.zip`（上传图片与字体）**不在这个滚动清理里**，不会被自动删，需要手工清理，建议每个项目至少留最新一份。
 
 **Q40：怎么恢复备份？**
-没有一键恢复接口，需停机手工替换数据库文件：在 Console 里停止服务，到 `<数据目录>\event_projs\<项目名>\` 把目标备份复制为 `event.db`（覆盖原文件），删掉同目录的 `event.db-wal` 与 `event.db-shm`，再启动服务，详见 [部署指南 · 备份与恢复](./部署指南.md#8-备份与恢复)。
+**管理端有一键恢复（仅管理员）**：到「系统设置 → 备份」，在列表里找到要退回到的那份（`pre-restore-…` 是系统自动留的「恢复前安全副本」），点该行的**「恢复」**并过危险确认框。服务端会先给当前库拍一份安全副本，再替换库文件并优雅重启，页面自动等待刷新。「恢复系统库」会连账号与会话一起换掉，重启后需要用那个时间点的账号重新登录；**恢复不会带回上传的图片与字体**（它们在 `uploads\` 里，不在 `.db` 内）。恢复是覆盖式的，备份时间点之后的改动都会丢。
+
+没有 Console 或恢复不了时的兜底是停机手工替换数据库文件：在 Console 里停止服务，到 `<数据目录>\event_projs\<项目名>\` 把目标备份复制为 `event.db`（覆盖原文件），删掉同目录的 `event.db-wal` 与 `event.db-shm`，再启动服务，详见 [部署指南 · 备份与恢复](./部署指南.md#8-备份与恢复)。
 
 **Q41：换一台电脑怎么迁移？**
 用户数据目录和安装目录都要带走：
@@ -306,7 +308,7 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 
 **Q58：删掉的人怎么又出现在名单里了？**
 
-彻底删除之后，如果又在报名表里导入同一个人（同一个证件号或号码布），他会以**全新的档案**重新出现在运动员名单里——因为旧档案已经连同他的报名与成绩一起删掉了，系统按证件号 / 号码布找不到他，就当作新人员建档。所以名单里突然多出一个「以前删过的人」，通常就是某次导入带回来的。
+彻底删除之后，如果又在报名表里导入同一个人（同一个号码布，或同一「单位 + 姓名」），他会以**全新的档案**重新出现在运动员名单里——因为旧档案已经连同他的报名与成绩一起删掉了，系统按「号码布 → 姓名 + 单位」找不到他（证件号不参与认人），就当作新人员建档。所以名单里突然多出一个「以前删过的人」，通常就是某次导入带回来的。
 
 - 新出现的这条是**全新的记录**：以前的报名、成绩与积分不会回来，需要重新录；
 - 不想他再出现，就让各单位不要把这个人填进报名表；确实不该有的，再「彻底删除」一次即可。
@@ -332,7 +334,7 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 
 **Q61：参赛单位怎么彻底删除？和删运动员一样吗？**
 
-不一样，两个按钮同名、行为完全不同，现场别按错。「基础数据 → 参赛单位」每行有三个动作：**编辑**、**停用**（已停用的单位显示为「启用」）、**彻底删除**。点该行右侧红色的「彻底删除」，在确认框里核对提示后再点一次「彻底删除」即可，完成后该单位从列表里消失，页面提示「已彻底删除「XX」」。
+不一样，两个按钮同名、行为完全不同，现场别按错。「基础数据 → 参赛单位」每行有三个动作：**编辑**、**停用**（已停用的单位显示为「启用」）、**彻底删除**。点该行右侧红色的「彻底删除」，在确认框里核对提示后再点一次「彻底删除」即可，完成后该单位从默认列表里消失，页面提示「已彻底删除「XX」」。
 
 一句话概括：**删运动员是真删，删单位是假删**。
 
@@ -341,13 +343,16 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 | 数据 | 人员档案连同报名、成绩、积分流水、破纪录记录**一并从库里删掉** | **一条都不删**，报名 / 成绩 / 积分 / 人工调整 / 纪录 / 名下运动员全部保留 |
 | 榜单 | **重算**受影响小项的排名与积分，删完榜单会变 | **积分榜不变**，不触发任何重算 |
 | 列表 | 从运动员名册里消失 | 从参赛单位列表里消失 |
-| 恢复 | 恢复不了 | 界面上没有恢复入口；再次导入用到它的编码会自动回来（见 Q62） |
+| 恢复 | 恢复不了 | **管理员**可在参赛单位页勾选「显示已彻底删除的单位」，再点该行「恢复」（见 Q62）；再次导入用到它的编码也会自动回来 |
 
 想让某个单位暂时不参赛，用「停用」就够了：单位还在列表里，历史数据保留，随时能再启用。详细说明见[使用手册 · 10.1 参赛单位](./使用手册.md#101-参赛单位)。
 
 **Q62：删掉的单位怎么又出现在列表里了？**
 
-多半是导入带回来的：报名表里再次用到这个单位的编码（`team_code`），系统会把它**原样复活**——清掉删除标记、恢复成启用，重新出现在参赛单位列表里。因为单位编码是唯一的，系统按编码找到的就是原来那一行，所以**不会新建第二个同名单位**，原有的报名、成绩与积分也都还在。
+两种常见原因：**管理员恢复了它**，或者**导入把它带回来了**。
+
+- **恢复**：只有**管理员**能在参赛单位页勾选「**显示已彻底删除的单位**」把已删除的单位翻出来（标「已删除」），点该行的「**恢复**」即可原样放回列表；录入员（recorder）界面上看不到这个开关，删错了要**找管理员恢复**。恢复是幂等的，本来就还在时会提示「本就未被彻底删除」；若该编码已被另一个可见单位占用（只能来自手工改库），会拒绝并说明原因。
+- **导入带回**：报名表里再次用到这个单位的编码（`team_code`），系统会把它**原样复活**——清掉删除标记、恢复成启用，重新出现在参赛单位列表里。因为单位编码是唯一的，系统按编码找到的就是原来那一行，所以**不会新建第二个同名单位**，原有的报名、成绩与积分也都还在。
 
 这和人员的规则**看着像、结果不同**：删掉的人再次导入是**以全新档案建档**，旧数据不会回来（见 Q58）；删掉的单位再次导入是**原来那个单位直接复活**，旧数据一直都在。
 
@@ -536,15 +541,15 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 - **导出**：一个工作簿四张工作表（单位 / 大项 / 小项 / 组别，组别表带所属小项编码）；
 - **导入**（**仅管理员**，只认 `.xlsx`）：按编码匹配，**存在就更新、不存在就新建，绝不删除**（表里没有的行不会被删、也不会被停用）。先点「预览差异」看「新增 / 更新 / 无变化 / 错误」与逐行变化，确认后再点「**确认写入**」；**有错的行会跳过、合法的行照常写入**，行级错误是中文并带真实 Excel 行号（如 `单位 第 3 行：单位编码必填`）。
 
-要点：**列不在表里 = 不动该字段**；**列在表里但格子空**：文本列与年龄上下限清空，权重按 1、布尔列（启用 / 计分等）按「是」，**排序留空保持原值**。表头行在第 4 行（导出件）或第 1 行（手工表）都能识别；枚举列要填英文规范值、布尔列填「是 / 否」。**最稳的做法是从系统导出、改完再导回**。详见使用手册 11.4。
+要点：**列不在表里 = 不动该字段**（**布尔列也一样**，缺整列 ≠ 取默认值）；**列在表里但格子空**：文本列与年龄上下限清空，权重按 1、布尔列（启用 / 计分等）按「是」，**排序留空保持原值**（**四张表口径一致**，单位 / 大项留空同样不会被改写）。表头行在第 4 行（导出件）或第 1 行（手工表）都能识别；枚举列要填英文规范值、布尔列填「是 / 否」。**最稳的做法是从系统导出、改完再导回**。详见使用手册 11.4。
 
 **Q89：登录会不会用着用着被踢下线？「登录有效期」怎么设？**
 默认有效期 **24 小时**，管理员可在「系统设置 → 登录有效期」里改成 **1–720 小时**（最长 30 天）；比赛期间建议设成 **72 小时**。会话是**滑动续期**的：只要在有效期内继续操作（页面开着也会定期自动续期），到期时间就往后顺延——**不会因为「登录满 N 小时」被踢**。当前到期时间在右上角用户菜单与系统设置页都写着「当前会话将于 X 过期」。
 
-⚠️ 但它不是「永不掉线」：超过设定的有效期一直没操作（浏览器关掉、机器关机过夜），再打开仍要重新登录。改设置**只对之后的新登录生效**，已经登录的会话不会被当场踢下线。
+⚠️ 但它不是「永不掉线」：超过设定的有效期一直没操作（浏览器关掉、机器关机过夜），再打开仍要重新登录。改设置不会把正在用的会话当场踢下线：已登录会话的到期时间不会在改设置的一刻改变，它会在**下一次操作时按新的有效期续期**（调长立即顺延，例如 12 小时改 72 小时后，正在用的会话下次有请求就顺延成 72 小时；调短也只影响之后的续期）。
 
 **Q90：发布后成绩上屏了，为什么积分榜没变、名次还是「—」？**
-多半是管理员把「榜单口径」里的**「分批发布时实时更新榜单」关掉了**（默认是开的），也就是**延迟结算**：分批发布时只把成绩上屏，**积分与名次等该项目该组所有批次都录完才一次性结算**（退赛 / 失格的人不算在等待里）。未结算组的**名次显示 `—`**（成绩照常显示）是有意的，免得出现「有金牌但 0 分」这种自相矛盾的画面。
+多半是管理员把「榜单口径」里的**「分批发布时实时更新榜单」关掉了**（默认是开的），也就是**延迟结算**：分批发布时只把成绩上屏，**积分与名次等该项目该组所有批次都录完才一次性结算**（报名状态不是「正常参赛」的人——退赛 / 取消资格 / 未出场——不算在等待里）。未结算组的**名次显示 `—`**（成绩照常显示）是有意的，免得出现「有金牌但 0 分」这种自相矛盾的画面。
 
 想让榜单立刻跟上：等该组录完会自动结算；确实有人永远录不出成绩时，在**成绩录入页**点 **「立即结算」**，按当前已发布成绩先结算一次。想改回实时结算：管理员到「基础数据 → 积分模板 → 榜单口径」，把「分批发布时实时更新榜单」勾上并点「保存结算方式」（见使用手册 10.5）。
 
@@ -564,3 +569,14 @@ Console 启动的多屏窗口默认每屏锁定一页。到「大屏控制」点
 - **小项**：漏传「计分」「计破纪录」= **两个都默认打开**（以前会被静默建成「只排名不计分、不能破纪录」）；更新时漏传同样沿用原值。
 
 用**基础数据包**导入时同理：「启用 / 计分 / 计破纪录」列留空 = 「是」，这些列**不在表里 = 不改动**该字段（见 Q88）。
+
+**Q93：换了大屏背景图 / 单位 logo 之后，旧图片还占着地方，能删掉吗？**
+能，管理员到「**系统设置 → 图片资源**」页签清理：那里列出 `uploads\` 里**没有被任何配置引用**的图片（孤儿），可以单张「删除」或勾选后「删除选中」，删除前有危险确认框、**删掉不可恢复**。
+
+「被引用」指被下面四处任意一处用着——**赛事会标 / 大屏会标 / 大屏背景图 / 任一参赛单位的单位图标**（**已被「彻底删除」的单位也算**，因为它还能恢复，logo 得留着）。所以想清掉一张旧图，正确顺序是：
+
+1. 先在「赛事信息」（或参赛单位）里把那个字段换成新图、或清空，并**保存**——这一步做完旧图才「没人引用」；
+2. 再回「图片资源」页签点「刷新」，旧图就会出现在孤儿列表里；
+3. 核对预览后删除。若某张图在你打开页面之后刚被配到别处，服务端会**拒删并说明被谁引用**（宁可漏删、不误删）。
+
+注意：这个页签**只管图片**，上传的字体在「赛事信息 → 字体库」里各自删除（被标题 / 正文字体引用的不能删）；这些图片和字体都是文件，**备份的 `.db` 快照和「一键恢复」都不含它们**（见 Q37），要清点或搬迁请到 `data\event_projs\<项目名>\uploads\`。