feat(routes): 迁移下载/批量打包/播客下载（账本事务）+ 修密钥绑定缺陷

迁移端点：
- POST /api/v1/download（单曲：file 后台任务 / json 同步交付+结算）
- POST /api/v1/download/batch_zip（按去重歌曲数计费）
- POST /api/v1/podcast/download、/podcast/download/batch_zip
- 新增 web/billing.py（预扣+开账同事务 / 只退 open 行 / rename 承接）
  与 web/tasks_registry.py（任务登记/容量闸/账本撞名重试，与 main 同口径）
- worker 仍复用 main 既有实现（无 flask 依赖），账本与交付语义不变

修复我引入的真实缺陷：
- download 参数校验分支（ID/音质/格式非法）漏退款 → 预扣泄漏。改为统一 _fail() 退款
- web/routers/{auth,register}.py 在导入期绑定 deps.secret_key，导致 patch web.deps.secret_key
  无效、且测试顺序相关。改为调用期 deps.secret_key() 解析

测试：tests/test_download_billing.py 7 项沙箱用例如实断言账本守恒
（预扣必退、无 open 行残留、次数不足不建任务）；
全套 pytest 69/69（顺序无关）；ruff All checks passed；pyright 0 errors；奇偶 36/36。

web/app.py

@@ -29,6 +29,7 @@ from web.routers import admin_site as admin_site_router
 from web.routers import auth as auth_router
 from web.routers import auth_status as auth_status_router
 from web.routers import delivery as delivery_router
+from web.routers import download as download_router
 from web.routers import index as index_router
 from web.routers import music as music_router
 from web.routers import podcast as podcast_router
@@ -99,6 +100,7 @@ def create_app(serve_flask_fallback: bool = False) -> FastAPI:
     app.include_router(admin_router.router, prefix='/api/v1', tags=['admin'])
     app.include_router(register_router.router, prefix='/api/v1', tags=['auth'])
     app.include_router(admin_site_router.router, prefix='/api/v1', tags=['admin'])
+    app.include_router(download_router.router, prefix='/api/v1', tags=['download'])
     # 首页与静态资源（迁移完成形态；fallback 模式下同路径也能由 Flask 提供）
     app.include_router(index_router.router, tags=['index'])