fix(server): 修复路由遮蔽、流式背压与鉴权限流顺序

- 专辑搜索静态路由优先注册，避免被 /album/{source}/{id}/{page} 捕获
- mg 流改为异步背压队列，慢客户端不再 QueueFull 悬挂，错误中断响应
- 限流移到鉴权外层，401 爆破计入限流
- 酷我 token 重试移出锁，修复 asyncio.Lock 递归死锁
- 补 CORS、5sing 音质、parse _kind、wy 首次登录 cookie、stream 签名溢出
- mg 流直连、lifespan 关闭 aiohttp 会话、cookie 登录路由与 auth_store 健壮性
- 测试改用 aiohttp + 进程内 uvicorn，移除 httpx/TestClient
- 更新 start.bat 与文档

tests/conftest.py

@@ -0,0 +1,19 @@
+"""测试隔离：所有用例使用独立 DATA_DIR，绝不读写真实的 data/auth.json。
+
+必须在任何 app 模块导入前设置；config.data_dir() 是运行时读取环境变量的。
+"""
+
+from __future__ import annotations
+
+import os
+import sys
+import tempfile
+from pathlib import Path
+
+ROOT = Path(__file__).resolve().parent.parent
+if str(ROOT) not in sys.path:
+    sys.path.insert(0, str(ROOT))
+
+os.environ["DATA_DIR"] = tempfile.mkdtemp(prefix="music-server-tests-")
+os.environ.pop("AUTH_KEY", None)
+os.environ.pop("RATE_LIMIT", None)