refactor!: uv 管理环境 + 彻底删除技术债（Flask 与 requests 全部移除）

## uv 环境管理
- pyproject.toml 声明 dependencies + [dependency-groups].dev，uv.lock 精确锁定
- 删除 requirements.txt / requirements-fastapi.txt / requirements-dev.txt
- .python-version = 3.12；Dockerfile 改用 uv sync --frozen（可复现构建）
- 新增 jinja2（首页渲染）

## 删除 Flask 技术债
- 从 main.py 用 ast 精确剥离 56 个 Flask 节点（路由/中间件/错误处理/启动），
  框架无关的服务层落为 services/runtime.py（MusicAPIService、下载/打包 worker、
  任务监控、缓存清扫），零 Flask 依赖
- 删除 main.py（4527 行）与 auth_routes.py（1050 行）
- auth_system.py 移除会话/请求上下文层（login_session/current_user/login_required/
  admin_required/_client_ip 等），保留数据与业务层
- 新增 core/net.py（IP 解析）、web/auth_state.py（登录锁定/2FA 票据/发码限流）
- FastAPI 侧改直接依赖 services.runtime，不再 import main
- web/app.py 去掉 Flask fallback；入口默认根路径模式（API_PREFIX 可选）

## 删除 requests 技术债
- 新增 core/sync_http.py：requests 风格的同步门面（底层 aiohttp 连接池，
  流式读取经有界队列背压），含 Session/headers/(connect,read) 元组超时兼容
- core/utils、auth_system、podcast_api、music_downloader、services 全部切换
- 实测真实下载 5.2MB 音频完整成功

## 质量门禁归零
- ruff：0 错误（B904 全部修复，不再忽略）
- pyright：0 错误（类型收窄修复）
- pytest：140/140（含 golden 契约回归、root 模式 66 项路径覆盖）
- 真实 uvicorn 启动：/health、/、/static、受保护端鉴权全部正确

新增 tests/golden/responses.json：删除 Flask 前捕获的 32 例响应快照，
FastAPI 逐字段复现——删除巨石后行为回归仍有硬证据。

tests/test_auth_routes.py

@@ -42,7 +42,7 @@ def app_env(tmp_path, monkeypatch):
     monkeypatch.setattr('web.deps.secret_key', lambda: SECRET)
 
     # 清空登录失败锁定/2FA 的模块级内存态，避免测试间串扰
-    import auth_routes
+    import web.auth_state as auth_routes
     auth_routes._LOGIN_FAILS.clear()
     auth_routes._LOGIN_FAIL_LOGGED.clear()
     auth_routes._ADMIN_2FA.clear()
@@ -52,14 +52,14 @@ def app_env(tmp_path, monkeypatch):
 
 
 def test_wrong_password(app_env):
-    r = app_env.post('/api/v1/auth/login', json={'username': 'normaluser', 'password': 'nope'})
+    r = app_env.post('/auth/login', json={'username': 'normaluser', 'password': 'nope'})
     assert r.status_code == 400
     assert r.json()['success'] is False
     assert 'session' not in r.cookies
 
 
 def test_user_login_issues_working_cookie(app_env):
-    r = app_env.post('/api/v1/auth/login', json={'username': 'normaluser', 'password': USER_PW})
+    r = app_env.post('/auth/login', json={'username': 'normaluser', 'password': USER_PW})
     assert r.status_code == 200
     body = r.json()
     assert body['success'] is True
@@ -67,13 +67,13 @@ def test_user_login_issues_working_cookie(app_env):
     assert 'session' in r.cookies
 
     # 用签发的 Cookie 访问受保护端点，应放行
-    r2 = app_env.post('/api/v1/auth/heartbeat', json={})
+    r2 = app_env.post('/auth/heartbeat', json={})
     assert r2.status_code == 200
     assert r2.json()['data']['duration_text'] == '97 次'
 
 
 def test_admin_login_returns_2fa_ticket(app_env):
-    r = app_env.post('/api/v1/auth/login', json={'username': 'bossuser', 'password': ADMIN_PW})
+    r = app_env.post('/auth/login', json={'username': 'bossuser', 'password': ADMIN_PW})
     assert r.status_code == 200
     data = r.json()['data']
     assert data['admin_2fa'] is True
@@ -82,12 +82,12 @@ def test_admin_login_returns_2fa_ticket(app_env):
 
 
 def test_logout_bumps_login_seq_and_clears(app_env):
-    app_env.post('/api/v1/auth/login', json={'username': 'normaluser', 'password': USER_PW})
+    app_env.post('/auth/login', json={'username': 'normaluser', 'password': USER_PW})
     conn = auth.get_conn()
     seq_before = conn.execute(
         "SELECT login_seq FROM users WHERE username='normaluser'").fetchone()[0]
     conn.close()
-    r = app_env.post('/api/v1/auth/logout', json={})
+    r = app_env.post('/auth/logout', json={})
     assert r.status_code == 200
     conn = auth.get_conn()
     seq_after = conn.execute(
@@ -95,7 +95,7 @@ def test_logout_bumps_login_seq_and_clears(app_env):
     conn.close()
     assert seq_after == seq_before + 1
     # 旧 Cookie 失效
-    r2 = app_env.post('/api/v1/auth/heartbeat', json={})
+    r2 = app_env.post('/auth/heartbeat', json={})
     assert r2.status_code == 401
 
 
@@ -104,8 +104,8 @@ def test_heartbeat_expired_credits(app_env):
     conn.execute("UPDATE users SET duration_seconds=0 WHERE username='normaluser'")
     conn.commit()
     conn.close()
-    r = app_env.post('/api/v1/auth/login', json={'username': 'normaluser', 'password': USER_PW})
+    r = app_env.post('/auth/login', json={'username': 'normaluser', 'password': USER_PW})
     assert r.status_code == 200
-    r2 = app_env.post('/api/v1/auth/heartbeat', json={})
+    r2 = app_env.post('/auth/heartbeat', json={})
     assert r2.status_code == 401
     assert r2.json().get('error_code') == 'expired'