fix(p2): 按审查清单修 103 条「建议修」+ 奖牌榜改名 + 两个守卫（dev_0.2.0）

## 奖牌榜改名（主人要求）
「团体奖牌榜」→「单位奖牌榜」，界面 / 大屏渲染页 / 导出件（工作表名与
下载文件名 `单位奖牌明细.xlsx`）/ 用户文档 全部统一；`DISPLAY_PAGES` 是
大屏控制页与大屏页的共同来源，改一处两边同时生效。旧名保留为别名，
老链接与老配置（`display.pages`）照常有效。真 Chromium 验证：14 个管理端
路由 + 7 个基础数据分区 0 报错，大屏页标题已是「单位奖牌榜」。

## P2 清单（123 条，103 条标「建议修」）
按 A/B/C/D 分组、以「文件所有权互斥」分 10 个代理并行推进，另有独立复核
代理逐条核对：61 条声称已修 / 55 条证实 / 4 条部分 / 0 条不成立 / 0 垃圾。

主要交付（按风险从高到低）：
- 写入侧校验：update 路径补必填与 TrimSpace、模板 rules 重复 rank、
  「小项不存在」的四种回答、`defaultProfileId` 外键、decodeJSON 的 8MB
  上限与 413（A01–A06、D02、D03 批量上限 500）
- 危险操作：一键恢复加互斥（第二个请求当场 409）、恢复超时不再说
  「未执行」、`ConfirmDialog` pending 时锁死 ESC/遮罩/关闭
- 认证：改密与撤会话进同一事务、滑动续期写库失败不再假装成功、
  CSRF Cookie 丢失自动补发、密码长度按字符（原按字节）、
  反代 403 只在可信代理透传原 Host 时采信 `X-Forwarded-Host`（全等比较）、
  过期会话定期清理、登出补审计、登录限流可配
- 数据可见性：导出「已发布未结算」行改为 `名次 — / 积分 — / 状态未结算`、
  单位积分明细成绩列与其它导出件逐字一致、空单位也打合计行、
  基础数据包命中「已彻底删除的单位」整行跳过并报界面路径、
  报名导入换单位给明确提示、勾选报名有冲突不再假报成功
- 导入/导出：赛事包上限 512MB（**它是唯一带字体/图片的包**，字体上限
  20MB）而 multipart 内存档位独立钉在 16MB、工作簿表名尾随空格、
  导出件路由与文件名契约补全
- 前端：一次写请求只生成一个 requestId（幂等缓存此前从未命中）、
  基础数据包补 `X-Request-Id`、示例数据模式禁写扩到撤销发布/存草稿、
  访客 401 不再是裸错误、模板 `{{else if}}` 不再静默吞内容
- Console：按设计退出（切赛事/恢复）不再判成崩溃、旧数据目录读不出来
  会记日志、渲染层日志按上限截断、`service.js` 补 17 例测试

## 测试
服务端用例 610 → 674（13 包全绿，新增老库跨九条迁移升级、panic 形状、
429 落 interceptions、三态对照、avg_mode 分母、会话失效、请求体上限等）
前端 449 → 531（vue-tsc + build 通过）；Console 28 → 54（19 个文件）。
另修复一条会让整包挂死 600s 的用例（测试主协程堵在 client.Do，defer
轮不到执行 → 改为可取消 + 探针超时，改坏也 7.5s 快速失败）。

## 两个新守卫（防止再出现「组件 setup 抛异常」这类盲区）
- `web/scripts/check-declaration-order.mjs` 已进测试命令：沿 watch/
  watchEffect 的 const 依赖链查 TDZ（正是「运动员页整块空白」的根因）
- `web/scripts/smoke-admin.mjs`（`pnpm smoke`）：真 Chromium 点遍 14 个
  管理端路由 + 7 个基础数据分区 + 大屏页，任何 console 错误即失败

## 文档
- `docs/升级说明.md` 新增 dev_0.2.0 一节（三件升级必知：改名、审计前缀
  与历史记录、密码口径；现场变化；赛事包上限；反代与 CSRF）
- 使用手册 / 常见问题 / 部署指南 / 上线检查清单按实现同步

server/internal/httpapi/handlers_config.go

@@ -70,11 +70,18 @@ func (s *server) login(w http.ResponseWriter, r *http.Request) (any, error) {
 }
 
 func (s *server) logout(w http.ResponseWriter, r *http.Request) (any, error) {
+	u := middleware.User(r.Context())
 	if c, err := r.Cookie(auth.CookieSession); err == nil {
 		if err := s.auth.Logout(r.Context(), c.Value); err != nil {
 			return nil, internal(err)
 		}
 	}
+	// 登出是真删会话行（服务端强制下线），属于写操作，得和登录 / 改密一样留审计：
+	// 现场问「谁在什么时候把谁的会话撤了」时，只有这几条动作能对上。
+	// 访客没有会话可撤，不记（否则 audit_logs 里会出现 user_id 为空的行）。
+	if u.Role != auth.RoleGuest {
+		s.audit(r.Context(), "auth.logout", "user", u.ID, nil, map[string]any{"username": u.Username})
+	}
 	s.auth.ClearSessionCookie(w)
 	s.auth.ClearCSRFCookie(w)
 	return nil, nil
@@ -105,6 +112,20 @@ func (s *server) me(w http.ResponseWriter, r *http.Request) (any, error) {
 	if c, err := r.Cookie(auth.CookieCSRF); err == nil {
 		csrf = c.Value
 	}
+	if csrf == "" {
+		// 会话有效但 CSRF Cookie 不在了（浏览器清理、升级/换端口后残留、手工拷了会话 Cookie）：
+		// 双提交方案下没有它，所有写操作会永久 403，而唯一的自愈路径是「退出后重新登录」——
+		// 刷新页面走的还是这条路径，补不回来。这里就地签发一枚新 token 并下发，
+		// 会话与 token 的绑定关系没变（token 不落库、只做双提交比对），不影响任何安全口径。
+		token, err := auth.NewCSRFToken()
+		if err != nil {
+			// crypto/rand 失败已经意味着整个进程不可信，但 /auth/me 是只读接口，
+			// 不能因为补票失败就把它变成 500：记下来，本次不补发。
+			s.logger.Error("补发 CSRF Cookie 失败", "err", err)
+		} else {
+			csrf = token
+		}
+	}
 	s.auth.RefreshSessionCookies(w, c.Value, csrf, sess.ExpiresAt)
 	return out, nil
 }
@@ -125,7 +146,10 @@ func (s *server) changePassword(w http.ResponseWriter, r *http.Request) (any, er
 	if err := decodeJSON(r, &in); err != nil {
 		return nil, err
 	}
-	if len(in.NewPassword) < 8 {
+	// 下限按「字符」判：3 个汉字是 9 字节，按字节判会把前端（按字符数）拒绝的口令放进来，
+	// 同一口令界面拒、接口收，现场只会以为是前端坏了。上限仍按字节——
+	// bcrypt 只吃前 72 字节，这是算法边界，不是长度口径。
+	if utf8.RuneCountInString(in.NewPassword) < 8 {
 		return nil, badRequest("新密码至少 8 位", nil)
 	}
 	if len(in.NewPassword) > auth.MaxPasswordBytes {
@@ -563,13 +587,20 @@ func (s *server) updateProfileHandler(w http.ResponseWriter, r *http.Request) (a
 		return nil, err
 	}
 	var in profileDTO
-	if err := decodeJSON(r, &in); err != nil {
+	keys, err := decodeJSONPresence(r, &in)
+	if err != nil {
 		return nil, err
 	}
 	before, err := s.getProfile(r.Context(), id)
 	if err != nil {
 		return nil, err
 	}
+	// 漏传 lastPlaceZero 不能当成「用户把最后一名归零关掉了」：PUT 是全量覆盖语义，
+	// 而 Go 的 bool 零值就是 false——只想改个名字的调用方会把这一项静默关掉，
+	// 算分行为跟着变，界面上却看不出是谁改的（同族的 active 已按这个口径处理）。
+	if !keys.has("lastPlaceZero") {
+		in.LastPlaceZero = before.LastPlaceZero
+	}
 	updated, err := s.updateProfile(r.Context(), id, in)
 	if err != nil {
 		return nil, err
@@ -755,7 +786,10 @@ func (s *server) importEntriesHandler(w http.ResponseWriter, r *http.Request) (a
 	if err != nil {
 		return nil, err
 	}
-	s.audit(r.Context(), "entries.import", "entry", 0, nil, result)
+	// 审计动作一律以 entity_type 的单数族名打头：本族已有 entry.heat / entry.scratch /
+	// entry.restore / entry.remove，导入原先写成 entries.import 自成第二族，
+	// 现场按文档示例填 `entry.` 一筛会漏掉两条导入审计（清单 B01）。
+	s.audit(r.Context(), "entry.import", "entry", 0, nil, result)
 	return result, nil
 }
 
@@ -789,7 +823,7 @@ func (s *server) resolveImportHandler(w http.ResponseWriter, r *http.Request) (a
 	if err != nil {
 		return nil, err
 	}
-	s.audit(r.Context(), "entries.import.resolve", "entry", 0, nil, result)
+	s.audit(r.Context(), "entry.import.resolve", "entry", 0, nil, result)
 	return result, nil
 }
 
@@ -987,6 +1021,7 @@ func (s *server) importEntriesWith(ctx context.Context, rows [][]string, decisio
 
 	// 号码布不再是人员的唯一标识：同一个人报多个组别时可以重复使用，只有「两个不同的人共用一个号码布」
 	// 才按行报错，所以这里记的是号码布 -> 第一次出现的那个人的证件号。
+	// 空串有专门含义：登记者没有证件号（个人行没填，或本来就是团体行），复用它一律按重号处理。
 	bibOwners := make(map[string]string)
 	// 证件号才是唯一标识：同一份表里重复出现 = 同一个人报多个组别（不报错，收尾统一给 notices 提示）；
 	// 但「同一证件号 + 同一个小项同一个组别」是真重复，只有它进冲突面板等决策。
@@ -1066,11 +1101,29 @@ func (s *server) importEntriesWith(ctx context.Context, rows [][]string, decisio
 			}
 		}
 
+		// 号码布查重对**所有行**生效（含团体行）：团体行没有人员，但号码布照样是这张表的身份，
+		// 同一张表里两个团体行、或团体行与个人行共用一个号码布都必须报出来。
+		// 这段原先写在 athleteName != "" 里面，团体行填的号码布既不登记也不查重，重号会静默落库。
+		idCard := cell("id_card")
+		bib := cell("bib")
+		if bib != "" {
+			// 同一个人（证件号相同且都填了）可以共用号码布；其余重复一律按行报错。
+			// 团体行没有「同一个人」这回事（它没有证件号可言），因此一律按重号处理。
+			owner := idCard
+			if athleteName == "" {
+				owner = ""
+			}
+			if prev, seen := bibOwners[bib]; seen && (owner == "" || prev != owner) {
+				result.Skipped++
+				result.Errors = append(result.Errors, s.interceptRow(line, "号码布 %s 在报名表内重复出现", bib))
+				continue
+			}
+			bibOwners[bib] = owner
+		}
+
 		// 团体/对抗行（athlete_name 为空）行为不变：只建报名，不涉及人员。
 		var athleteID *int64
 		if athleteName != "" {
-			idCard := cell("id_card")
-			bib := cell("bib")
 			// 有姓名就必须给证件号或号码布之一：两者都空时无法确认是哪一个人。
 			if idCard == "" && bib == "" {
 				result.Skipped++
@@ -1083,15 +1136,6 @@ func (s *server) importEntriesWith(ctx context.Context, rows [][]string, decisio
 				result.Errors = append(result.Errors, s.interceptRow(line, "age 需要是 0-120 的整数"))
 				continue
 			}
-			if bib != "" {
-				// 同一个人（证件号相同且都填了）可以共用号码布；其余重复一律按行报错。
-				if owner, seen := bibOwners[bib]; seen && (idCard == "" || owner != idCard) {
-					result.Skipped++
-					result.Errors = append(result.Errors, s.interceptRow(line, "号码布 %s 在报名表内重复出现", bib))
-					continue
-				}
-				bibOwners[bib] = idCard
-			}
 			// 真重复判据与服务端认人顺序一致：同一证件号 + 同一个小项同一个组别。
 			// 组别留空时上面已取该小项的第一个组别，这里用解析出的 categoryID 比。
 			duplicate := false
@@ -1141,7 +1185,7 @@ func (s *server) importEntriesWith(ctx context.Context, rows [][]string, decisio
 			TeamID:      teamID,
 			AthleteID:   athleteID,
 			MemberNames: splitNames(cell("member_names")),
-			Bib:         nilIfEmpty(cell("bib")),
+			Bib:         nilIfEmpty(bib),
 			Seed:        nilIfEmpty(cell("seed")),
 			Heat:        heat,
 			Status:      status,
@@ -1153,6 +1197,13 @@ func (s *server) importEntriesWith(ctx context.Context, rows [][]string, decisio
 		case outcome.Created:
 			result.Created++
 			affectedScopes = addEntryScope(affectedScopes, outcome.EventID, outcome.CategoryID)
+			// 换单位的人：旧单位那条过期报名已被移出。数据口径是对的，但不说出来操作员
+			// 只会看到「旧单位的报名不见了」——用既有 notices[] 通道讲清楚是谁、从哪到哪（清单 A10）。
+			for _, moved := range outcome.MovedEntries {
+				result.Notices = append(result.Notices, fmt.Sprintf(
+					"第 %d 行：%s 换了单位，原单位 %s 在本组别的报名已移出，已改在单位 %s 加入",
+					line, moved.Name, moved.OldTeamCode, moved.NewTeamCode))
+			}
 		default:
 			result.Updated++
 			if outcome.StatusChanged {