feat(routes): 迁移下载/批量打包/播客下载（账本事务）+ 修密钥绑定缺陷

迁移端点：
- POST /api/v1/download（单曲：file 后台任务 / json 同步交付+结算）
- POST /api/v1/download/batch_zip（按去重歌曲数计费）
- POST /api/v1/podcast/download、/podcast/download/batch_zip
- 新增 web/billing.py（预扣+开账同事务 / 只退 open 行 / rename 承接）
  与 web/tasks_registry.py（任务登记/容量闸/账本撞名重试，与 main 同口径）
- worker 仍复用 main 既有实现（无 flask 依赖），账本与交付语义不变

修复我引入的真实缺陷：
- download 参数校验分支（ID/音质/格式非法）漏退款 → 预扣泄漏。改为统一 _fail() 退款
- web/routers/{auth,register}.py 在导入期绑定 deps.secret_key，导致 patch web.deps.secret_key
  无效、且测试顺序相关。改为调用期 deps.secret_key() 解析

测试：tests/test_download_billing.py 7 项沙箱用例如实断言账本守恒
（预扣必退、无 open 行残留、次数不足不建任务）；
全套 pytest 69/69（顺序无关）；ruff All checks passed；pyright 0 errors；奇偶 36/36。

web/routers/register.py

@@ -24,10 +24,11 @@ from fastapi import APIRouter, Depends, Request
 from fastapi.responses import JSONResponse
 
 import auth_system as auth
+import web.deps as deps
 from core import db, repo
 from core import session as cs
 from web import ratelimit
-from web.deps import SiteUser, current_user, secret_key
+from web.deps import SiteUser, current_user
 from web.response import error, success
 
 router = APIRouter()
@@ -72,7 +73,7 @@ def _user_public(row: dict) -> dict:
 def _login_cookie_response(payload: dict, message: str, uid: int, seq: int,
                            secure: bool) -> JSONResponse:
     resp = JSONResponse(content={'status': 200, 'success': True, 'message': message, 'data': payload})
-    cookie = cs.dumps(secret_key(), {'site_uid': uid, 'site_uid_seq': seq,
+    cookie = cs.dumps(deps.secret_key(), {'site_uid': uid, 'site_uid_seq': seq,
                                      'site_uid_ts': int(time.time())})
     resp.set_cookie(SESSION_COOKIE, cookie, max_age=_SESSION_MAX_AGE, httponly=True,
                     samesite='lax', path='/', secure=secure)