refactor!: uv 管理环境 + 彻底删除技术债（Flask 与 requests 全部移除）

## uv 环境管理
- pyproject.toml 声明 dependencies + [dependency-groups].dev，uv.lock 精确锁定
- 删除 requirements.txt / requirements-fastapi.txt / requirements-dev.txt
- .python-version = 3.12；Dockerfile 改用 uv sync --frozen（可复现构建）
- 新增 jinja2（首页渲染）

## 删除 Flask 技术债
- 从 main.py 用 ast 精确剥离 56 个 Flask 节点（路由/中间件/错误处理/启动），
  框架无关的服务层落为 services/runtime.py（MusicAPIService、下载/打包 worker、
  任务监控、缓存清扫），零 Flask 依赖
- 删除 main.py（4527 行）与 auth_routes.py（1050 行）
- auth_system.py 移除会话/请求上下文层（login_session/current_user/login_required/
  admin_required/_client_ip 等），保留数据与业务层
- 新增 core/net.py（IP 解析）、web/auth_state.py（登录锁定/2FA 票据/发码限流）
- FastAPI 侧改直接依赖 services.runtime，不再 import main
- web/app.py 去掉 Flask fallback；入口默认根路径模式（API_PREFIX 可选）

## 删除 requests 技术债
- 新增 core/sync_http.py：requests 风格的同步门面（底层 aiohttp 连接池，
  流式读取经有界队列背压），含 Session/headers/(connect,read) 元组超时兼容
- core/utils、auth_system、podcast_api、music_downloader、services 全部切换
- 实测真实下载 5.2MB 音频完整成功

## 质量门禁归零
- ruff：0 错误（B904 全部修复，不再忽略）
- pyright：0 错误（类型收窄修复）
- pytest：140/140（含 golden 契约回归、root 模式 66 项路径覆盖）
- 真实 uvicorn 启动：/health、/、/static、受保护端鉴权全部正确

新增 tests/golden/responses.json：删除 Flask 前捕获的 32 例响应快照，
FastAPI 逐字段复现——删除巨石后行为回归仍有硬证据。

web/app.py

@@ -4,13 +4,8 @@
 设计（strangler 迁移）：
 - 已迁移的路由挂在 `/api/v1` 前缀下，与遗留 Flask 的同名路由（根路径）并存，
   便于逐端点比对响应契约（.zcode/refactor/parity.py）。
-- `serve_flask_fallback=True` 时，把未迁移的遗留 Flask 应用整体挂到根路径兜底，
-  实现「新端点走 FastAPI、其余走 Flask」的单进程双框架运行；迁移完成后删掉该开关。
-
-注意（默认关闭的原因）：Flask fallback 会在 FastAPI 进程内 import main，
-进而初始化 MusicAPIService / 打开 SQLite —— 与生产既有的 waitress 进程是
-两套独立进程语义。生产切换前需按计划把状态与任务模型统一（见迁移计划阶段 C），
-当前仅用于开发期联调。
+迁移已完成：Flask 巨石（main.py/auth_routes.py）已删除，本应用即唯一服务端。
+`api_prefix` 为空即直接服务前端使用的根路径；非空则挂在给定前缀下（用于契约比对）。
 """
 
 from contextlib import asynccontextmanager
@@ -64,13 +59,12 @@ def _init_audio_secret() -> None:
         pass
 
 
-def create_app(serve_flask_fallback: bool = False, api_prefix: str = '/api/v1') -> FastAPI:
+def create_app(api_prefix: str = '') -> FastAPI:
     """创建 FastAPI 应用。
 
-    api_prefix：已迁移路由的挂载前缀。
-      - '/api/v1'（默认）：与 Flask 根路径并存，便于逐端点契约比对（迁移期）
-      - ''（切换完成）：FastAPI 直接服务前端使用的根路径，不再需要 Flask 兜底
-    serve_flask_fallback：把 Flask 应用挂到根路径兜底（仅 api_prefix 非空时可用）。
+    api_prefix：路由挂载前缀。
+      - ''（默认）：直接服务前端使用的根路径（生产形态）
+      - '/api/v1'：挂在子前缀下（契约比对脚本 .zcode/refactor/parity.py 用）
     """
     _init_audio_secret()
 
@@ -112,16 +106,4 @@ def create_app(serve_flask_fallback: bool = False, api_prefix: str = '/api/v1')
 
     install_error_handlers(app)
 
-    if serve_flask_fallback and api_prefix:
-        _mount_flask_fallback(app)
-
     return app
-
-
-def _mount_flask_fallback(app: FastAPI) -> None:
-    """把遗留 Flask WSGI 应用挂到根路径，兜底未迁移的路由。"""
-    from starlette.middleware.wsgi import WSGIMiddleware
-
-    import main as legacy_flask
-
-    app.mount('/', WSGIMiddleware(legacy_flask.app))