fix: 审查修复波次（P0x4 + P1x30+）

- domain/rules: 计分与排名解耦、破纪录按组别、tieBreak 生效、调整分不丢、移除 aggregate 假能力
- realtime: 新建 internal/dto，快照三项契约对齐，/ws 只认会话身份
- httpapi: 流水幂等、standings 整表载荷、广播接线、强制改密、XFF 防伪造、records 写入、审计、赛事包内容、发布前备份、result.points、实例列表
- web: FormData 上传、YAML 解析、快照归一化、大屏解析层、bootstrap 降级、访客判定、主题切换
- console: 优雅关闭握手、中文化、免验证改管理员账号、选屏与日志轮转修复
- docs: 用户文档三份 + README
- 主代理: 破纪录加分接线（levels 未加载导致恒 0）

server/internal/middleware/context_test.go

@@ -0,0 +1,45 @@
+package middleware
+
+import (
+	"net/http/httptest"
+	"testing"
+)
+
+// 默认不信任任何代理头：X-Forwarded-For 不能改变客户端 IP，否则登录限流可被绕过。
+func TestClientIPIgnoresForwardedHeadersByDefault(t *testing.T) {
+	t.Cleanup(func() { _ = SetTrustedProxies(nil) })
+	if err := SetTrustedProxies(nil); err != nil {
+		t.Fatalf("清空可信代理: %v", err)
+	}
+
+	r := httptest.NewRequest("POST", "/api/auth/login", nil)
+	r.RemoteAddr = "127.0.0.1:54321"
+	r.Header.Set("X-Forwarded-For", "203.0.113.9")
+	r.Header.Set("X-Real-IP", "203.0.113.10")
+
+	if got := ClientIP(r); got != "127.0.0.1" {
+		t.Fatalf("默认应使用 RemoteAddr，得到 %q", got)
+	}
+}
+
+// 仅当直连对端在可信代理白名单内时才采信代理头，并从右往左取第一个非代理地址。
+func TestClientIPTrustsForwardedHeadersOnlyFromProxies(t *testing.T) {
+	t.Cleanup(func() { _ = SetTrustedProxies(nil) })
+	if err := SetTrustedProxies([]string{"10.0.0.0/8"}); err != nil {
+		t.Fatalf("设置可信代理: %v", err)
+	}
+
+	r := httptest.NewRequest("POST", "/api/auth/login", nil)
+	r.RemoteAddr = "10.0.0.5:12345"
+	r.Header.Set("X-Forwarded-For", "198.51.100.7, 10.0.0.6")
+
+	if got := ClientIP(r); got != "198.51.100.7" {
+		t.Fatalf("可信代理应解析出真实客户端，得到 %q", got)
+	}
+
+	// 直连对端不可信时，即便伪造代理头也以 RemoteAddr 为准。
+	r.RemoteAddr = "203.0.113.1:12345"
+	if got := ClientIP(r); got != "203.0.113.1" {
+		t.Fatalf("不可信对端应使用 RemoteAddr，得到 %q", got)
+	}
+}