refactor!: uv 管理环境 + 彻底删除技术债（Flask 与 requests 全部移除）

## uv 环境管理
- pyproject.toml 声明 dependencies + [dependency-groups].dev，uv.lock 精确锁定
- 删除 requirements.txt / requirements-fastapi.txt / requirements-dev.txt
- .python-version = 3.12；Dockerfile 改用 uv sync --frozen（可复现构建）
- 新增 jinja2（首页渲染）

## 删除 Flask 技术债
- 从 main.py 用 ast 精确剥离 56 个 Flask 节点（路由/中间件/错误处理/启动），
  框架无关的服务层落为 services/runtime.py（MusicAPIService、下载/打包 worker、
  任务监控、缓存清扫），零 Flask 依赖
- 删除 main.py（4527 行）与 auth_routes.py（1050 行）
- auth_system.py 移除会话/请求上下文层（login_session/current_user/login_required/
  admin_required/_client_ip 等），保留数据与业务层
- 新增 core/net.py（IP 解析）、web/auth_state.py（登录锁定/2FA 票据/发码限流）
- FastAPI 侧改直接依赖 services.runtime，不再 import main
- web/app.py 去掉 Flask fallback；入口默认根路径模式（API_PREFIX 可选）

## 删除 requests 技术债
- 新增 core/sync_http.py：requests 风格的同步门面（底层 aiohttp 连接池，
  流式读取经有界队列背压），含 Session/headers/(connect,read) 元组超时兼容
- core/utils、auth_system、podcast_api、music_downloader、services 全部切换
- 实测真实下载 5.2MB 音频完整成功

## 质量门禁归零
- ruff：0 错误（B904 全部修复，不再忽略）
- pyright：0 错误（类型收窄修复）
- pytest：140/140（含 golden 契约回归、root 模式 66 项路径覆盖）
- 真实 uvicorn 启动：/health、/、/static、受保护端鉴权全部正确

新增 tests/golden/responses.json：删除 Flask 前捕获的 32 例响应快照，
FastAPI 逐字段复现——删除巨石后行为回归仍有硬证据。

web/routers/auth.py

@@ -8,7 +8,7 @@
 - POST /api/v1/auth/login     ↔ Flask /auth/login（密码校验 + 失败锁定 + 管理员 2FA 转票据）
 
 设计：
-- 登录失败锁定与管理员 2FA 票据表**复用 auth_routes 的模块级状态**，两栈共享同一份
+- 登录失败锁定与管理员 2FA 票据表**复用 web.auth_state 的模块级状态**，两栈共享同一份
   计数/票据，避免「换个框架打就绕过锁定」。
 - 密码校验（PBKDF2，10 万次迭代，CPU 密集）与库操作经 asyncio.to_thread 执行，
   不阻塞事件循环。
@@ -104,7 +104,7 @@ async def ann_seen(user: Annotated[SiteUser | None, Depends(current_user)]):
 @router.post('/auth/login')
 async def login(request: Request):
     """登录：密码校验（含邮箱登录）、失败锁定、管理员两步验证转票据。"""
-    from auth_routes import (
+    from web.auth_state import (
         _admin2fa_issue,
         _admin2fa_mask,
         _login_fail_check,
@@ -201,7 +201,7 @@ async def admin_login_email(request: Request):
     """管理员 2FA Step2：比对绑定邮箱 → 发送 admin2fa 验证码。"""
     import hmac as _hmac
 
-    from auth_routes import (
+    from web.auth_state import (
         _ADMIN2FA_LAST_SEND,
         _ADMIN2FA_SEND_GAP,
         _ADMIN_2FA,
@@ -245,7 +245,7 @@ async def admin_login_email(request: Request):
 @router.post('/auth/admin_login/verify')
 async def admin_login_verify(request: Request):
     """管理员 2FA Step3：验证码原子消费 → 建立管理员会话。"""
-    from auth_routes import (
+    from web.auth_state import (
         _ADMIN_2FA,
         _ADMIN_2FA_MAX_ATTEMPTS,
         _admin2fa_take,