feat(http): use httpx with pooled connections and browser headers

Add httpx and route Bilibili and Telegram requests through pooled clients with keepalive and explicit timeouts. Align Bilibili headers with data/raw-request.txt: Chrome 155 UA, sec-ch-ua, space.bilibili.com origin, folder-specific referer, and priority header. Close replaced clients when credentials change. Add transport contract tests and live read-only validation for nav, folder sync, WBI search, and Telegram getUpdates.

DEVELOPMENT.md

@@ -15,19 +15,19 @@
 | 开发语言 | Python 3.14 | 与现有 `favsort.py` 一致，复用 Cookie、扫码授权与收藏夹排序能力。 |
 | 包与环境管理 | `uv` | 管理 Python 版本、`.venv`、依赖同步及统一命令。 |
 | 后端服务 | Python 标准库 `ThreadingHTTPServer` | 个人单用户看板，接口与并发规模有限，不引入 Web 框架。 |
-| HTTP 客户端 | `urllib.request` | 现有 B 站请求代码已使用；无需额外依赖。 |
+| HTTP 客户端 | `httpx` | 连接池、keepalive、明确的 connect/read 超时；B 站请求头与 UA 对齐 `data/raw-request.txt`。 |
 | 数据库 | SQLite（WAL） | 单用户、单机、低并发写入；备份和迁移成本低。 |
 | 调度 | `threading`、`queue.Queue`、标准库时间工具 | 单进程内运行发现、同步、快照和清理任务。 |
 | 前端 | 原生 HTML/CSS/JavaScript | 无 Node.js、无构建链；前端仅渲染 `/api/*` JSON。 |
 | 图表 | 仓库内置 ECharts | 离线静态资源，Apache-2.0 许可。 |
-| 通知 | Telegram Bot long polling | 具备按钮回调能力，开发和本机运行不需要公网 URL。 |
+| 通知 | Telegram Bot long polling + `httpx` | 具备按钮回调能力，开发和本机运行不需要公网 URL。 |
 | 容器化 | 可选的后续部署方式 | 本地开发、调试和日常运行均不要求 Docker。 |
 
 ### 1.1 选型原则
 
 1. **复用现有能力。** 当前仓库的 `favsort.py` 已实现 B 站设备指纹 Cookie、扫码登录、收藏夹读取和排序逻辑；新功能应拆分复用，而不是另起技术栈。
 2. **保持单体。** 当前规模约数百到数千视频，每日采集量约千级请求；单进程、SQLite 和内置调度足够。
-3. **尽量标准库。** 当前没有第三方 Python 依赖，第一期不因便利性引入 Web 框架、ORM、任务队列或 Redis。
+3. **标准库优先，成熟依赖可用。** 当依赖能明确改善可靠性、性能或可维护性时允许引入；必须锁定在 `pyproject.toml` / `uv.lock`，隔离在适配层，并用契约测试覆盖。
 4. **本地优先。** 可在 Windows 上通过 `uv` 直接运行，不要求 WSL、Docker、数据库服务或宿主机 cron。
 5. **未来可部署。** 服务保持无状态代码与可挂载数据目录分离，未来可选用 Docker 与 Caddy/Nginx 部署，但不是开发前置条件。
 
@@ -344,6 +344,17 @@ PRAGMA synchronous = NORMAL;
 | 加入收藏 | `x/v3/fav/resource/deal` | 确认候选后收藏 |
 | 收藏夹排序 | `x/v3/fav/resource/sort` | 定位至同 UP 分组 |
 
+B 站请求统一使用 `httpx` 连接池，并按 `data/raw-request.txt` 对齐浏览器特征：
+
+- `user-agent`：Chrome 155 / Windows；
+- `sec-ch-ua`、`sec-ch-ua-mobile`、`sec-ch-ua-platform`；
+- `origin: https://space.bilibili.com`；
+- `referer`：收藏夹请求指向 `https://space.bilibili.com/<mid>/favlist?fid=<media_id>&ftype=create`；
+- `priority: u=1, i`；
+- 匿名请求仍剥离账号身份 Cookie，仅保留设备指纹。
+
+请求头集中在 `bilibili/auth.py::make_headers`，不要在业务层散落自定义 Header。
+
 ### 7.2 发现任务
 
 每小时扫描两个关键词、每个关键词前两页：