refactor: 迁移收尾（管理员2FA）+ 抽取公共工具层，消除 router 间重复

补齐最后缺口：
- POST /api/v1/auth/admin_login/email、/auth/admin_login/verify（管理员 2FA Step2/3），
  复用 auth_routes 的票据表与尝试上限（跨栈共享），签发会话 Cookie

重构（消除约 200 行重复，11 个 router 受益）：
- web/request_utils.py：request_data / safe_int / extract_id / cookies / dedup_ids
  原在各 router 各复制一份，现集中
- web/serializers.py：format_credits / user_public / record_req_log
- 各 router 改为导入别名，行为逐字不变

覆盖率：Flask 90 条业务路由全部有 FastAPI 等价端点（含 5 个向后兼容别名）。
验证：pytest 69/69；ruff All checks passed；pyright 0 errors；奇偶 36/36；冒烟 10/10。

web/routers/auth_status.py

@@ -14,30 +14,14 @@ from core import repo
 from web import ratelimit
 from web.deps import SiteUser, current_user
 from web.response import error, success
+from web.serializers import format_credits as _format_credits
+from web.serializers import user_public as _user_public
 
 router = APIRouter()
 
 
-def _format_credits(count: int) -> str:
-    if count < 0:
-        return '不限次数'
-    if count <= 0:
-        return '已用完'
-    return f'{count} 次'
 
 
-def _user_public(row: dict) -> dict:
-    return {
-        'id': row['id'],
-        'username': row['username'],
-        'email': row.get('email'),
-        'role': row['role'],
-        'duration_seconds': row['duration_seconds'],
-        'created_at': row.get('created_at'),
-        'last_login': row.get('last_login'),
-        'ann_seen': row.get('ann_seen'),
-    }
-
 
 @router.api_route('/auth/me', methods=['GET', 'POST'])
 async def auth_me(