refactor!: uv 管理环境 + 彻底删除技术债（Flask 与 requests 全部移除）

## uv 环境管理
- pyproject.toml 声明 dependencies + [dependency-groups].dev，uv.lock 精确锁定
- 删除 requirements.txt / requirements-fastapi.txt / requirements-dev.txt
- .python-version = 3.12；Dockerfile 改用 uv sync --frozen（可复现构建）
- 新增 jinja2（首页渲染）

## 删除 Flask 技术债
- 从 main.py 用 ast 精确剥离 56 个 Flask 节点（路由/中间件/错误处理/启动），
  框架无关的服务层落为 services/runtime.py（MusicAPIService、下载/打包 worker、
  任务监控、缓存清扫），零 Flask 依赖
- 删除 main.py（4527 行）与 auth_routes.py（1050 行）
- auth_system.py 移除会话/请求上下文层（login_session/current_user/login_required/
  admin_required/_client_ip 等），保留数据与业务层
- 新增 core/net.py（IP 解析）、web/auth_state.py（登录锁定/2FA 票据/发码限流）
- FastAPI 侧改直接依赖 services.runtime，不再 import main
- web/app.py 去掉 Flask fallback；入口默认根路径模式（API_PREFIX 可选）

## 删除 requests 技术债
- 新增 core/sync_http.py：requests 风格的同步门面（底层 aiohttp 连接池，
  流式读取经有界队列背压），含 Session/headers/(connect,read) 元组超时兼容
- core/utils、auth_system、podcast_api、music_downloader、services 全部切换
- 实测真实下载 5.2MB 音频完整成功

## 质量门禁归零
- ruff：0 错误（B904 全部修复，不再忽略）
- pyright：0 错误（类型收窄修复）
- pytest：140/140（含 golden 契约回归、root 模式 66 项路径覆盖）
- 真实 uvicorn 启动：/health、/、/static、受保护端鉴权全部正确

新增 tests/golden/responses.json：删除 Flask 前捕获的 32 例响应快照，
FastAPI 逐字段复现——删除巨石后行为回归仍有硬证据。

部署文档.md

@@ -22,18 +22,39 @@
 ## 二、文件说明
 
 ```
-Netease_url/
-├── main.py                 # Flask 主程序（路由、计费、音频代理防护）
+NeteaseUrl/
+├── web/                    # FastAPI 应用（唯一服务端）
+│   ├── main.py             # uvicorn 入口（python web/main.py）
+│   ├── app.py              # create_app 工厂（挂路由 / 静态资源 / 中间件）
+│   ├── deps.py             # 会话解析、当前用户、登录/管理员依赖
+│   ├── billing.py          # 计费依赖（预扣+开账同事务、只退 open 行）
+│   ├── tasks_registry.py   # 任务登记/启动（容量闸、账本承接）
+│   ├── middleware.py       # 安全头 + 音频直链签名保护
+│   ├── ratelimit.py        # 按 IP 滑动窗限流（与 core.state 共享桶）
+│   ├── auth_state.py       # 登录失败锁定 / 管理员 2FA 票据 / 发码限流
+│   └── routers/            # 各领域路由（music/podcast/download/auth/admin…）
+├── core/                   # 框架无关核心层
+│   ├── config.py           # 常量与配置
+│   ├── state.py            # 进程内运行时状态（任务表/限流桶/缓存）
+│   ├── db.py / repo.py     # 异步 SQLite（WAL：读并发、写串行）
+│   ├── http_client.py      # aiohttp 连接池客户端
+│   ├── aiohttp_compat.py   # requests 同形异步垫片
+│   ├── async_bridge.py     # 同步↔异步桥（遗留同步调用点）
+│   ├── session.py          # itsdangerous 兼容会话编解码
+│   ├── security.py         # 音频 HMAC 签名
+│   ├── net.py / media.py / utils.py / serializers… # 纯工具
+├── services/runtime.py     # 服务层（MusicAPIService、下载/打包 worker、任务监控）
 ├── auth_system.py          # 站点账号系统（SQLite：用户/卡密/公告/日志/封禁/顶号）
-├── auth_routes.py          # 认证与管理后台路由
-├── music_api.py            # 网易云音乐 API 封装
+├── music_api.py            # 网易云音乐 API 封装（全异步）
 ├── music_downloader.py     # 下载器（ffmpeg 元数据 / ZIP 打包）
 ├── podcast_api.py          # 播客解析 API
 ├── qr_login.py             # 网易云扫码登录
 ├── templates/index.html    # 前端页面（原生 HTML/CSS/JS）
 ├── static/site_auth.js     # 前端认证 / 个人中心 / 管理后台交互
-├── requirements.txt        # Python 依赖（Python 3.12）
-├── Dockerfile              # 镜像构建文件
+├── pyproject.toml          # 依赖与工具配置（uv 管理）
+├── uv.lock                 # 精确锁定依赖版本
+├── tests/                  # 测试（含 golden 契约回归）
+├── Dockerfile              # 镜像构建文件（uv sync）
 ├── docker-compose.yml      # 编排配置（端口 / 持久卷）
 ├── entrypoint.sh           # 容器启动脚本
 ├── cookie.txt              # 全局网易云账号 Cookie（部署后扫码生成，勿提交）