fix: 审查修复波次（P0x4 + P1x30+）

- domain/rules: 计分与排名解耦、破纪录按组别、tieBreak 生效、调整分不丢、移除 aggregate 假能力
- realtime: 新建 internal/dto，快照三项契约对齐，/ws 只认会话身份
- httpapi: 流水幂等、standings 整表载荷、广播接线、强制改密、XFF 防伪造、records 写入、审计、赛事包内容、发布前备份、result.points、实例列表
- web: FormData 上传、YAML 解析、快照归一化、大屏解析层、bootstrap 降级、访客判定、主题切换
- console: 优雅关闭握手、中文化、免验证改管理员账号、选屏与日志轮转修复
- docs: 用户文档三份 + README
- 主代理: 破纪录加分接线（levels 未加载导致恒 0）

server/internal/httpapi/server.go

@@ -33,21 +33,27 @@ type Options struct {
 	DataDir string
 	// Display 可选，实时层接入后传入。
 	Display DisplaySender
+	// Realtime 可选，实时层接入后传入：写事务提交后推送变更，并提供在线大屏实例。
+	Realtime Realtime
 	// WS 可选，实时层的 WebSocket 处理器，挂到 /ws。
 	WS http.Handler
+	// ProjectDir 可选，当前赛事项目目录（含 uploads/），用于赛事包导出。
+	ProjectDir string
 	// WebFS 可选，默认使用内嵌前端资源。
 	WebFS fs.FS
 }
 
 type server struct {
-	logger  *slog.Logger
-	version string
-	sys     *sql.DB
-	ev      *sql.DB
-	auth    *auth.Service
-	dataDir string
-	display DisplaySender
-	idem    *idempotencyStore
+	logger     *slog.Logger
+	version    string
+	sys        *sql.DB
+	ev         *sql.DB
+	auth       *auth.Service
+	dataDir    string
+	projectDir string
+	display    DisplaySender
+	realtime   Realtime
+	idem       *idempotencyStore
 }
 
 // New 组装并返回服务端的 HTTP 处理器。
@@ -62,14 +68,16 @@ func New(opts Options) http.Handler {
 	}
 
 	s := &server{
-		logger:  logger,
-		version: opts.Version,
-		sys:     opts.System,
-		ev:      opts.Event,
-		auth:    svc,
-		dataDir: opts.DataDir,
-		display: opts.Display,
-		idem:    newIdempotencyStore(10 * time.Minute),
+		logger:     logger,
+		version:    opts.Version,
+		sys:        opts.System,
+		ev:         opts.Event,
+		auth:       svc,
+		dataDir:    opts.DataDir,
+		projectDir: opts.ProjectDir,
+		display:    opts.Display,
+		realtime:   opts.Realtime,
+		idem:       newIdempotencyStore(10 * time.Minute),
 	}
 
 	mux := http.NewServeMux()
@@ -94,9 +102,11 @@ func New(opts Options) http.Handler {
 	}
 
 	var h http.Handler = mux
+	h = s.broadcastChanges(h)
 	h = middleware.NewAuditor(opts.Event, logger).Middleware(h)
 	h = middleware.RateLimitWrite(svc)(h)
 	h = middleware.CSRF(h)
+	h = middleware.MustChangePassword(h)
 	h = middleware.Authenticate(svc)(h)
 	h = middleware.Log(logger)(h)
 	h = middleware.Recover(logger)(h)
@@ -205,6 +215,7 @@ func (s *server) routes(mux *http.ServeMux) {
 
 	// 大屏控制与运维
 	mux.HandleFunc("POST /api/display/command", s.write(auth.RoleRecorder, s.displayCommandHandler))
+	mux.HandleFunc("GET /api/display/instances", s.read(auth.RoleRecorder, s.displayInstancesHandler))
 	mux.HandleFunc("GET /api/audit-logs", s.read(auth.RoleAdmin, s.listAuditLogsHandler))
 	mux.HandleFunc("POST /api/backup", s.write(auth.RoleAdmin, s.backupHandler))