feat(routes): 迁移查询类路由到 FastAPI + 会话互通 + 统一错误/限流

会话互通（迁移关键）：
- core/session.py：itsdangerous 兼容的签名 Cookie 编解码（同密钥/同 salt/同
  时间戳编码），Flask 与 FastAPI 双向可读——实测 F->core 与 core->F 双向解出一致，
  篡改/错密钥返回 None

FastAPI 基础设施：
- web/deps.py    会话→当前用户（封禁/顶号校验，口径同 auth_system.current_user）
- web/errors.py  AppError + 全局异常处理，404/405/400 统一为本站包体
- web/ratelimit.py 复用 core.state 同一批限流桶（跨栈共享，避免绕框架绕过限流）
- core/repo.py  补 get_user_by_id（异步）

迁移路由（/api/v1/*，与 Flask 同端点逐字段对齐）：
- toplist / artist_songs / comments / search，走 music_api 异步方法
- search 的服务器昵称遮蔽改为 FastAPI 侧异步实现（不再依赖 main）

契约奇偶校验：扩展至 7 项（含登录会话互通 + 未登录 401），全 OK；
CDN 分片主机差异归一化（上游易变值，非契约漂移）。

验证：pytest 33/33；ruff All checks passed；pyright 0 errors；
uvicorn 实跑未登录 401 包体与 Flask 一致。

tests/test_session.py

@@ -0,0 +1,67 @@
+# -*- coding: utf-8 -*-
+"""Flask 兼容会话编解码的单元测试（不依赖网络）。"""
+import time
+
+import pytest
+from flask import Flask
+from flask.sessions import SecureCookieSessionInterface
+
+from core import session as cs
+
+SECRET = 'unit-test-secret-key'
+
+
+@pytest.fixture()
+def flask_serializer():
+    app = Flask(__name__)
+    app.secret_key = SECRET
+    return SecureCookieSessionInterface().get_signing_serializer(app)
+
+
+def _flask_cookie(ser, data):
+    return ser.dumps(data)
+
+
+def test_flask_to_core(flask_serializer):
+    """Flask 签发的会话 Cookie 能被 core.session 解出。"""
+    cookie = _flask_cookie(flask_serializer, {'site_uid': 26, 'site_uid_seq': 5})
+    data = cs.loads(SECRET, cookie)
+    assert data == {'site_uid': 26, 'site_uid_seq': 5}
+    assert cs.get_uid(data) == 26
+
+
+def test_core_to_flask(flask_serializer):
+    """core.session 签发（含时间戳）的 Cookie 能被 Flask 解出。"""
+    cookie = cs.dumps(SECRET, {'site_uid': 74, 'site_uid_seq': 8})
+    assert flask_serializer.loads(cookie) == {'site_uid': 74, 'site_uid_seq': 8}
+
+
+def test_core_to_flask_expiry(flask_serializer):
+    """时间戳格式正确：Flask 能按 max_age 校验（未过期可解）。"""
+    cookie = cs.dumps(SECRET, {'site_uid': 1})
+    assert flask_serializer.loads(cookie, max_age=3600) == {'site_uid': 1}
+
+
+def test_tampered_returns_none(flask_serializer):
+    cookie = _flask_cookie(flask_serializer, {'site_uid': 26})
+    assert cs.loads(SECRET, cookie[:-3] + 'xyz') is None
+
+
+def test_wrong_key_returns_none(flask_serializer):
+    cookie = _flask_cookie(flask_serializer, {'site_uid': 26})
+    assert cs.loads('wrong-secret', cookie) is None
+
+
+def test_garbage_returns_none():
+    assert cs.loads(SECRET, 'not-a-cookie') is None
+    assert cs.loads(SECRET, '') is None
+
+
+def test_roundtrip_selfconsistency():
+    payload = {'site_uid': 9, 'site_uid_seq': 3, 'site_uid_ts': int(time.time())}
+    assert cs.loads(SECRET, cs.dumps(SECRET, payload)) == payload
+
+
+def test_get_uid_none():
+    assert cs.get_uid(None) is None
+    assert cs.get_uid({}) is None