refactor!: uv 管理环境 + 彻底删除技术债（Flask 与 requests 全部移除）

## uv 环境管理
- pyproject.toml 声明 dependencies + [dependency-groups].dev，uv.lock 精确锁定
- 删除 requirements.txt / requirements-fastapi.txt / requirements-dev.txt
- .python-version = 3.12；Dockerfile 改用 uv sync --frozen（可复现构建）
- 新增 jinja2（首页渲染）

## 删除 Flask 技术债
- 从 main.py 用 ast 精确剥离 56 个 Flask 节点（路由/中间件/错误处理/启动），
  框架无关的服务层落为 services/runtime.py（MusicAPIService、下载/打包 worker、
  任务监控、缓存清扫），零 Flask 依赖
- 删除 main.py（4527 行）与 auth_routes.py（1050 行）
- auth_system.py 移除会话/请求上下文层（login_session/current_user/login_required/
  admin_required/_client_ip 等），保留数据与业务层
- 新增 core/net.py（IP 解析）、web/auth_state.py（登录锁定/2FA 票据/发码限流）
- FastAPI 侧改直接依赖 services.runtime，不再 import main
- web/app.py 去掉 Flask fallback；入口默认根路径模式（API_PREFIX 可选）

## 删除 requests 技术债
- 新增 core/sync_http.py：requests 风格的同步门面（底层 aiohttp 连接池，
  流式读取经有界队列背压），含 Session/headers/(connect,read) 元组超时兼容
- core/utils、auth_system、podcast_api、music_downloader、services 全部切换
- 实测真实下载 5.2MB 音频完整成功

## 质量门禁归零
- ruff：0 错误（B904 全部修复，不再忽略）
- pyright：0 错误（类型收窄修复）
- pytest：140/140（含 golden 契约回归、root 模式 66 项路径覆盖）
- 真实 uvicorn 启动：/health、/、/static、受保护端鉴权全部正确

新增 tests/golden/responses.json：删除 Flask 前捕获的 32 例响应快照，
FastAPI 逐字段复现——删除巨石后行为回归仍有硬证据。

core/net.py

@@ -0,0 +1,45 @@
+# -*- coding: utf-8 -*-
+"""客户端 IP 解析工具（框架无关）。
+
+从 auth_system 抽出：可信反代判定与 XFF/X-Real-IP 解析规则。
+Flask 侧原本经 request.headers 取头；FastAPI 侧由 web.ratelimit 传入 header 值调用，
+故此处只保留纯函数（不依赖任何 Web 框架）。
+"""
+
+
+def is_loopback_ip(ip: str) -> bool:
+    """可信反代判定（第 91 条 P2-4：从"所有内网源"收窄为仅回环地址）。
+    服务绑 0.0.0.0 时内网任意主机都可直连伪造 XFF/X-Real-IP 轮换绕过限流与
+    登录锁定（实测实锤）；同机 Caddy 反代（127.0.0.1 → Flask）不受影响。"""
+    try:
+        import ipaddress
+        addr = ipaddress.ip_address(ip)
+        return addr.is_loopback
+    except ValueError:
+        return False
+
+
+
+
+def trusted_proxy_ip(header_value: str) -> str:
+    """第 97 条（P2-1）：从可信反代转发的 X-Forwarded-For 中取最右一个可解析 IP。
+    最右段是可信反代（Caddy）追加的直连方地址；最左段与 X-Real-IP 均可被客户端
+    伪造（Caddy 默认不改写客户端自带的 X-Real-IP），采信它们等于给限流/锁定/省份
+    记录开了伪造口。无有效值返回空串，调用方回落 remote_addr。"""
+    if not header_value:
+        return ''
+    import ipaddress as _ipa
+    for part in reversed(header_value.split(',')):
+        part = part.strip()
+        if not part:
+            continue
+        try:
+            return str(_ipa.ip_address(part))
+        except ValueError:
+            continue
+    return ''
+
+
+# 兼容原名（auth_system 等历史调用点沿用下划线命名）
+_is_loopback_ip = is_loopback_ip
+_trusted_proxy_ip = trusted_proxy_ip