feat(admin): R176-R180 公示表与新闻撤回 + 管理端多管理员权限（C 层）+ 交卷冻结

- R176 成绩公示表引擎（lib/publicitySheet.js + lib/assets/publicity-template.xlsx 官方模板基底）
  与指导教师回填（lib/teacherBackfill.js）；赛项名称/编号改为配置项
- R177 新闻「发布 ↔ 撤回」互斥：撤回只置 is_draft=1，不删除数据
- R178 C 层 RBAC：lib/adminPermissions.js（13 权限点 / 70 条路由规则，唯一 SoT）
  + middleware/auth.js 三段判定（默认拒绝 · is_super 单点 · token_version）
  + controller/service/adminUser.js + lib/auditLog.js + model/adminAuditLog.js
- R178 B1 交卷冻结：service.exam.assertNotSubmitted（bizCode 4006 单一判据源）
- R178 B④ 提交口径拆分：formalSubmitted / submitted / answeredCount 三字段
- R178 成绩总览补小组编号：resolveTeamLabels（与选手管理同源，含兜底与三态）
- R181 生产迁移配套：admins +7 列、admin_audit_logs（scripts/migrate_r178_admin_rbac.py）

app/model/aggregation.js

@@ -133,9 +133,13 @@ module.exports = app => {
 
   // 关联定义
   Aggregation.associate = function() {
+    // ⚠️ R176：CompetitionInfo 的运行库结构是 key-value（主键 id），
+    //    不是原来的三列结构 ⇒ targetKey 必须是 `id`，否则 Sequelize 解析
+    //    `competition_uid` 这个属性时会找不到定义。
+    //    `aggregation.competition_uid` 存的是数字（实测恒为 1），对应 competition_info.id。
     app.model.Aggregation.belongsTo(app.model.CompetitionInfo, {
       foreignKey: 'competition_uid',
-      targetKey: 'competition_uid',
+      targetKey: 'id',
       as: 'competition',
     });
     app.model.Aggregation.belongsTo(app.model.Team, {