feat(routes): 迁移查询类路由到 FastAPI + 会话互通 + 统一错误/限流

会话互通（迁移关键）：
- core/session.py：itsdangerous 兼容的签名 Cookie 编解码（同密钥/同 salt/同
  时间戳编码），Flask 与 FastAPI 双向可读——实测 F->core 与 core->F 双向解出一致，
  篡改/错密钥返回 None

FastAPI 基础设施：
- web/deps.py    会话→当前用户（封禁/顶号校验，口径同 auth_system.current_user）
- web/errors.py  AppError + 全局异常处理，404/405/400 统一为本站包体
- web/ratelimit.py 复用 core.state 同一批限流桶（跨栈共享，避免绕框架绕过限流）
- core/repo.py  补 get_user_by_id（异步）

迁移路由（/api/v1/*，与 Flask 同端点逐字段对齐）：
- toplist / artist_songs / comments / search，走 music_api 异步方法
- search 的服务器昵称遮蔽改为 FastAPI 侧异步实现（不再依赖 main）

契约奇偶校验：扩展至 7 项（含登录会话互通 + 未登录 401），全 OK；
CDN 分片主机差异归一化（上游易变值，非契约漂移）。

验证：pytest 33/33；ruff All checks passed；pyright 0 errors；
uvicorn 实跑未登录 401 包体与 Flask 一致。

web/deps.py

@@ -0,0 +1,81 @@
+# -*- coding: utf-8 -*-
+"""FastAPI 依赖：会话解析、当前用户、登录校验。
+
+与 Flask 侧 auth_system 的语义对齐（迁移期两栈共用同一 Cookie、同一站点库）：
+- 会话 Cookie 经 core.session 解码（Flask 兼容签名），密钥同源
+- 封禁账号（status 0/2）：按未登录处理
+- 顶号校验：会话内的 `site_uid_seq` 必须与库中 `login_seq` 一致，否则视为失效
+- 剩余次数/账本预扣属付费流程，待付费路由迁移时再补（此处先覆盖免费端点）
+"""
+from dataclasses import dataclass
+from typing import Annotated, Any
+
+from fastapi import Cookie, Depends
+
+from core import repo
+from core import session as sess
+from web.errors import AppError
+
+_SESSION_COOKIE = 'session'
+
+
+def secret_key() -> str:
+    """会话签名密钥（与 Flask 同源：data/secret.key）。"""
+    import auth_system
+    return auth_system.get_secret_key()
+
+
+@dataclass
+class SiteUser:
+    id: int
+    username: str
+    role: str
+    credits: int
+
+    @property
+    def is_admin(self) -> bool:
+        return self.role == 'admin'
+
+    @property
+    def unlimited(self) -> bool:
+        return self.is_admin or self.credits == -1
+
+
+def _parse_cookie(session_cookie: str | None) -> dict[str, Any] | None:
+    return sess.loads(secret_key(), session_cookie or '')
+
+
+async def current_user(
+    session_cookie: Annotated[str | None, Cookie(alias=_SESSION_COOKIE)] = None,
+) -> SiteUser | None:
+    """当前登录用户（未登录/失效返回 None）。"""
+    data = _parse_cookie(session_cookie)
+    uid = sess.get_uid(data)
+    if not uid:
+        return None
+    row = await repo.get_user_by_id(uid)
+    if row is None:
+        return None
+    status = row.get('status', 1)
+    if status in (0, 2):  # 禁用/封禁：按未登录处理
+        return None
+    # 顶号校验：库有 login_seq 时会话版本必须严格一致
+    db_seq = int(row.get('login_seq') or 0)
+    sess_seq = int((data or {}).get(sess.SESSION_KEY + '_seq') or 0)
+    if db_seq and sess_seq != db_seq:
+        return None
+    return SiteUser(
+        id=int(row['id']),
+        username=row['username'],
+        role=row['role'],
+        credits=int(row.get('duration_seconds') or 0),
+    )
+
+
+async def require_login(
+    user: Annotated[SiteUser | None, Depends(current_user)],
+) -> SiteUser:
+    """登录闸：未登录抛 401（与 Flask login_required 同形包体），已登录返回用户。"""
+    if user is None:
+        raise AppError('请先登录后再使用解析功能', 401, error_code='unauthorized')
+    return user