feat(python): 完成 Python 全量迁移——剩余平台、登录通道与公共层修复

- 新增 5sing/apple/xm/me/qt/lr 平台包与取流实现（含 xm-sign、MissEvan 签名、蜻蜓 HMAC、Apple developer token）
- 新增 wy/kg/tx/lr 登录：扫码、手机号、账密（kg 20028 风控指纹）、cookie 绑定、kg/tx 续期
- request 层：保留多值 Set-Cookie；JSON body 紧凑化（修复 kg 网关验签）；直连不经系统代理（对齐 Node）
- 登录路由统一 Body(embed=True)，修复扫码轮询 422；lifespan 接入登录续期调度
- ruff/format/pyright 全绿；14 平台真实联网与 HTTP 路由验证通过

app/http/auth_gate.py

@@ -0,0 +1,55 @@
+"""全局调用秘钥鉴权 —— AUTH_KEY 环境变量启用（未设置则完全不鉴权）。
+
+验证头统一为 X-Server-Key；全部路径（含文档页/健康检查/404）都要求秘钥，
+未授权请求一律 401，避免被扫描器区分出接口存在性（404/401 差异）。
+CORS 预检（OPTIONS）无响应体、不泄露内容，豁免。
+
+/stream/* 流代理例外：播放器/下载器直接 GET 媒体地址、无法携带自定义头，
+改用短时签名（?exp=&sig=，见 stream_sign.py）——不落裸秘钥到 URL/日志，
+签名泄露仅能在时效窗口内拉当条流；能带头的客户端仍可用 X-Server-Key。
+"""
+
+from __future__ import annotations
+
+import hmac
+
+from starlette.requests import Request
+from starlette.responses import JSONResponse
+
+from app.http.stream_sign import verify_stream_sign
+
+
+def _safe_equal(a: str, b: str) -> bool:
+    return hmac.compare_digest(a.encode(), b.encode())
+
+
+async def auth_gate(request: Request, call_next):
+    if request.method == "OPTIONS":
+        return await call_next(request)
+
+    auth_key = getattr(request.app.state, "auth_key", "") or ""
+    if not auth_key:  # 未配置秘钥：完全不鉴权
+        return await call_next(request)
+
+    pathname = request.url.path
+    header = request.headers.get("x-server-key", "")
+
+    if pathname.startswith("/stream/"):
+        query = request.query_params
+        ok = (header and _safe_equal(header, auth_key)) or (
+            not header and verify_stream_sign(auth_key, pathname, query.get("exp"), query.get("sig"))
+        )
+        if ok:
+            return await call_next(request)
+        return JSONResponse(
+            {"code": 401, "msg": "无效或缺少调用秘钥：X-Server-Key 头，或 /url 返回流地址自带的 exp/sig 签名"},
+            status_code=401,
+        )
+
+    if not header or not _safe_equal(header, auth_key):
+        # 统一 401 文案（不区分路径存在与否，防扫描探测）
+        return JSONResponse(
+            {"code": 401, "msg": "无效或缺少调用秘钥：请在 X-Server-Key 请求头携带"},
+            status_code=401,
+        )
+    return await call_next(request)