fix: 修正心跳端点在限流豁免表与限流调用里自相矛盾

为什么：/api/task/heartbeat 同时出现在两处——
  1. guard() 开头的 _EXEMPT_PATHS 豁免表里（命中就直接 return，不进桶）
  2. task_heartbeat 自己的 guard(bucket='hb', limit=60) 调用里
结果 guard 在进入桶之前就被豁免表放行，hb 桶的 60/分限额写了等于没写，
心跳端点实际处于无限制状态。

改法：把 /api/task/heartbeat 从 _EXEMPT_PATHS 移除，让它真正走到 hb 桶。
保留 /api/queue 与 /api/batch_progress 的豁免（它们被高频轮询且无自带桶）。

顺带修正上一轮的一处误判：原以为「手写滑动窗口在多 worker 下会放大限额」，
实测 Dockerfile / docker-compose.yml / entrypoint.sh 全是单进程
python3 web/main.py（uvicorn.run 无 --workers），进程内内存窗口是正确实现，
该顾虑不成立。

web/ratelimit.py

@@ -13,9 +13,12 @@ from core.config import RESULT_RETENTION_SECONDS  # noqa: F401 - 再导出，与
 from core.state import RATE_BUCKETS, RATE_LOCK
 from web.errors import AppError
 
-# 免于限流的端点（试听流/进度轮询）
+# 免于限流的端点（试听流/进度轮询）。
+# 注意 /api/task/heartbeat 不在此列：它自带 hb 桶（60/分），此前的豁免表
+# 让 guard 在进入桶之前就直接返回，限额写了等于没写——心跳端点是唯一
+# 在豁免与限流两处同时出现的路径（/api/queue、/api/batch_progress 本就不调 guard）。
 _EXEMPT_PREFIXES = ('/audio_stream',)
-_EXEMPT_PATHS = {'/api/queue', '/api/batch_progress', '/api/task/heartbeat'}
+_EXEMPT_PATHS = {'/api/queue', '/api/batch_progress'}
 
 
 def client_ip(request: Request) -> str: