feat: 8 条功能 + 身份口径改为号码布为准（含批量退赛/移出、基础数据导入导出、登录有效期）

用户给出的 8 条功能 + 一条口径变更，全部带真机/真浏览器验证：

① 录入页姓名后直接显示号码布（原「号码」列保留）
② 录入页批次进度条：`第 2 批 已录 5/8 · 3 条有错`，录完变绿；已录判据复用
   entryGuards.judgeEntryRow（与发布防呆同源，不会出现"进度条说录完、发布说缺 8 条"）
⑦ 小项列表双击 → 跳到该小项的组别（编辑/删除按钮不误触）
③ 赛事开关 `standings.live_on_publish`（默认开＝保持原行为）：关闭后分批发布只上屏成绩，
   名次/流水/榜单一起等该组录完再结算 —— 代理实读代码后纠正了我的前提：
   奖牌榜读的是 results.rank（buildRanked）而非流水汇总，只延迟流水会出现
   「有金牌但 0 分」。另提供 POST /api/results/settle 人工兜底 + GET /api/results/settlement 未结算清单
④ 组别「就地更新」PUT /api/events/{id}/categories/{categoryId}：有报名数据时也能改名/改年龄/
   改性别/改权重（旧路径是整表替换，一改就被 409 拦下）；改名不动报名/成绩/流水（真机逐字节比对）；
   权重真的变了才触发该组重算（容差 1e-9）
④辅 运动员列表多选+全选，POST /api/athletes/batch 一次请求完成整批停用/彻底删除（逐条回报，
   dryRun 预览走同一段 SQL 但不提交、不写审计）——这才是绕开限流的正解
新增 报名项批量：POST /api/entries/batch（scratch/restore/remove）。退赛只动 registered、
   跳过 dq/dns 并说明原因；移出是物理删除，必须显式清 score_ledger（该表 entry_id 是
   ON DELETE SET NULL，不显式删会留下"人没了分还在"的孤儿流水，验证基线 orphan=0）；
   退赛同时清 results.rank（否则出现"0 分还挂着金牌"）
⑤ GET /api/export/entries.xlsx 报名名单导出（13 列含批次，状态中文与录入页逐字一致）
⑥ 基础数据包：GET /api/export/basedata.xlsx + POST /api/export/basedata/import
   （四张表、表头只有一份定义、表头行自动定位、列缺席≠写空、按编码 upsert、绝不删除、
   行级中文错误带真实 Excel 行号、枚举走既有校验、新增单位一定是启用）
⑧ 登录有效期面板可配：系统设置新页签，1–720 小时，默认 12h → 24h；滑动续期 +
   Cookie 同步刷新（只服务端续期是假的，浏览器侧的 Max-Age 到点仍会丢 Cookie）
身份口径：号码布为唯一标识、证件号退出匹配（号码布不同=同名的两个人，新建并单独报告）；
   同一份表重复证件号不再报错；两个不同的人共用证件号仍报行级错误（唯一索引保留）

其它对齐：分项成绩表草稿行不再消失（成绩列「分数未录入」、名次/积分 `—`，没成绩的行同占位）；
大屏实时赛况单栏铺满（留白 370→78px）、字号上限 56→96px、≥7 行自动拆左右两块；
删除报名项/退赛/权重等改动都会重算并推榜单。

测试：服务端 13 包（连跑两遍）、前端 335 例、vue-tsc + build、Console 18 文件 —— 全绿。
文档：README、docs/ 四份（含 debug/使用说明 副本）、devdocs 05/08/04/13。
版本号 dev_0.1.5 → dev_0.1.6。

server/internal/httpapi/repo_misc.go

@@ -5,10 +5,12 @@ import (
 	"database/sql"
 	"errors"
 	"fmt"
+	"net/http"
 	"strconv"
 	"strings"
 	"time"
 
+	"git.yeij.top/AskaEth/Scoreboard/server/internal/auth"
 	"git.yeij.top/AskaEth/Scoreboard/server/internal/domain"
 	"git.yeij.top/AskaEth/Scoreboard/server/internal/dto"
 	"git.yeij.top/AskaEth/Scoreboard/server/internal/export"
@@ -203,6 +205,11 @@ func (s *server) updateSettings(ctx context.Context, patch settingsPatch) (dto.E
 				return dto.EventSettings{}, err
 			}
 		}
+		if p.LiveOnPublish != nil {
+			if err := set(dto.SettingKeyLiveOnPublish, strconv.FormatBool(*p.LiveOnPublish)); err != nil {
+				return dto.EventSettings{}, err
+			}
+		}
 	}
 	if patch.DefaultProfileID != nil {
 		code := ""
@@ -263,6 +270,104 @@ func boolDefault(v string, def bool) bool {
 	}
 }
 
+// ---------- 系统级设置：登录有效期 ----------
+//
+// 存在系统库 system.db 的 settings（键 security.session_hours），与赛事级的
+// /api/settings（event.db，随赛事包走）不共用：会话寿命是这台机器的属性，
+// 切换到另一个赛事项目时不该跟着变。
+
+func (s *server) getSessionSettingsHandler(w http.ResponseWriter, r *http.Request) (any, error) {
+	return s.sessionSettings(r)
+}
+
+func (s *server) updateSessionSettingsHandler(w http.ResponseWriter, r *http.Request) (any, error) {
+	var in sessionSettingsPatch
+	if err := decodeJSON(r, &in); err != nil {
+		return nil, err
+	}
+	if in.SessionHours == nil {
+		return nil, badRequest("登录有效期 sessionHours 必填", nil)
+	}
+	hours := *in.SessionHours
+	if hours < auth.MinSessionHours || hours > auth.MaxSessionHours {
+		return nil, badRequest(
+			fmt.Sprintf("登录有效期（小时）需在 %d~%d 之间", auth.MinSessionHours, auth.MaxSessionHours), hours)
+	}
+	return nil, s.idempotent(w, r, in.RequestID, func() (any, error) {
+		if err := s.writeSessionHours(r.Context(), hours); err != nil {
+			return nil, err
+		}
+		s.audit(r.Context(), "settings.session_hours", "system", 0, nil,
+			map[string]any{"sessionHours": hours})
+		return s.sessionSettings(r)
+	})
+}
+
+// sessionSettings 组装面板要的登录有效期：生效值 + 取值范围 + 当前会话到期时间。
+func (s *server) sessionSettings(r *http.Request) (dto.SessionSettings, error) {
+	values, err := loadSettingsMap(r.Context(), s.sys)
+	if err != nil {
+		return dto.SessionSettings{}, err
+	}
+	return dto.SessionSettings{
+		SessionHours: auth.EffectiveSessionHours(values),
+		DefaultHours: auth.DefaultSessionHours,
+		MinHours:     auth.MinSessionHours,
+		MaxHours:     auth.MaxSessionHours,
+		ExpiresAt:    s.sessionExpiresAt(r),
+	}, nil
+}
+
+// sessionExpiresAt 取当前请求所用会话的到期时间（RFC3339 UTC）；没有有效会话时为 nil。
+// 前端要把它按本机时区显示成「当前会话将于 … 过期」，所以必须带时区，不能下发库里的裸时间串。
+func (s *server) sessionExpiresAt(r *http.Request) *string {
+	c, err := r.Cookie(auth.CookieSession)
+	if err != nil || c.Value == "" {
+		return nil
+	}
+	_, sess, err := s.auth.Lookup(r.Context(), c.Value)
+	if err != nil || sess == nil {
+		return nil
+	}
+	v := sess.ExpiresAt.UTC().Format(time.RFC3339)
+	return &v
+}
+
+// writeSessionHours 落库登录有效期并立刻在进程内生效。
+// 只写配置、不动任何已存在会话的 expires_at：改设置不该把正在录入的人踢下线。
+func (s *server) writeSessionHours(ctx context.Context, hours int) error {
+	tx, err := s.sys.BeginTx(ctx, nil)
+	if err != nil {
+		return internal(err)
+	}
+	defer func() { _ = tx.Rollback() }()
+
+	upsert := func(key, value string) error {
+		_, err := tx.ExecContext(ctx,
+			`INSERT INTO settings (key, value, updated_at) VALUES (?, ?, datetime('now'))
+			 ON CONFLICT(key) DO UPDATE SET value = excluded.value, updated_at = datetime('now')`,
+			key, value)
+		if err != nil {
+			return internal(err)
+		}
+		return nil
+	}
+	if err := upsert(auth.SessionHoursKey, strconv.Itoa(hours)); err != nil {
+		return err
+	}
+	// 记下这个值是面板写的：读取时就不再把它当成迁移种下的历史占位值，
+	// 操作员特意选的 12 才不会在重启后被悄悄改成默认的 24。
+	if err := upsert(auth.SessionHoursSourceKey, auth.SessionHoursSourcePanel); err != nil {
+		return err
+	}
+	if err := tx.Commit(); err != nil {
+		return internal(err)
+	}
+	// 重启才生效会让现场以为「改了面板没反应」，所以同一请求里就换掉进程内的有效期。
+	s.auth.SetSessionTTL(time.Duration(hours) * time.Hour)
+	return nil
+}
+
 // ---------- 大屏公告 ----------
 
 // 公告由大屏指令写进 settings 表：POST /api/display/command 允许 recorder，