refactor: 拆分 4 个巨石模块为包，清理过时注释并删除作废文档

为什么：单文件 1100~1900 行的巨石模块让「改一处要通读全文」；同时注释里残留
大量已删台账的编号，以及「Flask/FastAPI 双栈迁移期」这类已失实的架构描述，
会误导后来者按不复存在的架构去改代码。

拆分（对外导入路径不变，行为零变更）：
- music_downloader.py  -> music_downloader/（models/downloader/cover/_http/_log/_concurrency）
- auth_system.py       -> auth_system/（db/security/users/credits/ledger/mail/cards/backup...）
- music_api.py         -> music_api/（api/client/crypto/qr/cookies/compat/constants/errors）
- services/runtime.py  -> services/（api_service/_shared/_taskcore/downloads/batch/podcast/
  streaming/tasks）；services/runtime.py 保留为兼容门面

兼容性做法：各包用 __init__.py 以 __all__ 原样再导出全部符号，既有调用点
（auth_system.xxx / services.xxx / from music_api import Y）零改动；路径常量改为经包属性
动态读取（auth_system.DB_PATH），否则测试的 monkeypatch 会静默失效并写到生产库。

修复 9 处代码损伤（上一轮注释清理把 `()` 当「空括号残留」删掉所致；用「与拆分前逐字
等价」校验逐一定位，静态检查只会报出其中 4 处）：
- core/config.py  ).strip() or '*'
- core/state.py   threading.Lock() x2
- qr_login.py     datetime.now() / .strip()
- music_downloader/downloader.py  .lower()
- services/podcast.py  set() / time.time() x2

清理与删除：
- 删除 部署文档.md / 功能介绍.md / README_私有包警告.txt
- 清理指向已删台账与文档的过时编号注释；把「迁移期 / 两栈 / 双框架 / 已迁移」等
  失实描述改写为现状描述（保留 `<-> Flask /path` 映射表等仍有价值的契约来源说明）
- _mkpkg.py：公开包剔除清单去掉已不存在的文档名；私有包警告改为自包含
- pyproject.toml：补 pythonpath = ["."]，使裸跑 pytest 不再 import core 失败

验证：ruff 全通过；pyright 0 errors / 0 warnings（102 文件）；pytest 144 passed；
真实 uvicorn 冒烟 6 条路由符合预期且生产 data/ 指纹未变；忽略注释的逐字等价性校验通过。

music_downloader/_http.py

@@ -0,0 +1,59 @@
+# -*- coding: utf-8 -*-
+"""HTTP 会话复用与音频内容嗅探。
+
+（自 music_downloader.py 拆出，行为与原实现一致。）
+"""
+
+from __future__ import annotations
+
+import threading
+
+from core import sync_http as requests  # 同步门面（底层 aiohttp，替代 requests）
+
+# ============ HTTP 连接复用（提速核心） ============
+
+# 常见浏览器 UA，避免直链 CDN 因空 UA 限速/拒绝
+DEFAULT_UA = (
+    "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 "
+    "(KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36"
+)
+
+
+# 音频流式下载分块大小（256KB）：减少系统调用与磁盘 IO 次数，提升吞吐
+DL_CHUNK_SIZE = 256 * 1024
+
+
+# 线程本地 Session：同线程内复用 TCP/TLS 连接（keep-alive），批量并发显著提速
+_SESSION_LOCAL = threading.local()
+
+
+# 下载内容嗅探的音频魔数（未知期望尺寸时唯一的内容防线）
+_AUDIO_MAGIC = (b'ID3', b'fLaC', b'OggS', b'RIFF')
+
+
+def _sniff_audio_header(path) -> bool:
+    """读取文件头做基础音频魔数校验：MP3(ID3/裸帧)、FLAC、OGG/Opus、WAV(RIFF)、
+    M4A/MP4(ftyp)。未知期望尺寸的下载走"非空即通过"保留口径，本函数补上内容
+    防线——CDN 错误页/风控 JSON 不再能被存成音频交付。"""
+    try:
+        with open(path, 'rb') as f:
+            head = f.read(16)
+    except OSError:
+        return False
+    if not head:
+        return False
+    if any(head.startswith(m) for m in _AUDIO_MAGIC):
+        return True
+    if len(head) >= 8 and head[:4] == b'\x00\x00\x00' and head[4:8] == b'ftyp':
+        return True
+    return len(head) >= 2 and head[0] == 0xFF and (head[1] & 0xE0) == 0xE0
+
+
+def get_http_session() -> requests.Session:
+    """获取当前线程的共享同步会话（连接池由底层 aiohttp 统一维护）。"""
+    session: requests.Session | None = getattr(_SESSION_LOCAL, "session", None)
+    if session is None:
+        session = requests.Session()
+        session.headers.update({"User-Agent": DEFAULT_UA})
+        _SESSION_LOCAL.session = session
+    return session