refactor: 拆分 4 个巨石模块为包，清理过时注释并删除作废文档

为什么：单文件 1100~1900 行的巨石模块让「改一处要通读全文」；同时注释里残留
大量已删台账的编号，以及「Flask/FastAPI 双栈迁移期」这类已失实的架构描述，
会误导后来者按不复存在的架构去改代码。

拆分（对外导入路径不变，行为零变更）：
- music_downloader.py  -> music_downloader/（models/downloader/cover/_http/_log/_concurrency）
- auth_system.py       -> auth_system/（db/security/users/credits/ledger/mail/cards/backup...）
- music_api.py         -> music_api/（api/client/crypto/qr/cookies/compat/constants/errors）
- services/runtime.py  -> services/（api_service/_shared/_taskcore/downloads/batch/podcast/
  streaming/tasks）；services/runtime.py 保留为兼容门面

兼容性做法：各包用 __init__.py 以 __all__ 原样再导出全部符号，既有调用点
（auth_system.xxx / services.xxx / from music_api import Y）零改动；路径常量改为经包属性
动态读取（auth_system.DB_PATH），否则测试的 monkeypatch 会静默失效并写到生产库。

修复 9 处代码损伤（上一轮注释清理把 `()` 当「空括号残留」删掉所致；用「与拆分前逐字
等价」校验逐一定位，静态检查只会报出其中 4 处）：
- core/config.py  ).strip() or '*'
- core/state.py   threading.Lock() x2
- qr_login.py     datetime.now() / .strip()
- music_downloader/downloader.py  .lower()
- services/podcast.py  set() / time.time() x2

清理与删除：
- 删除 部署文档.md / 功能介绍.md / README_私有包警告.txt
- 清理指向已删台账与文档的过时编号注释；把「迁移期 / 两栈 / 双框架 / 已迁移」等
  失实描述改写为现状描述（保留 `<-> Flask /path` 映射表等仍有价值的契约来源说明）
- _mkpkg.py：公开包剔除清单去掉已不存在的文档名；私有包警告改为自包含
- pyproject.toml：补 pythonpath = ["."]，使裸跑 pytest 不再 import core 失败

验证：ruff 全通过；pyright 0 errors / 0 warnings（102 文件）；pytest 144 passed；
真实 uvicorn 冒烟 6 条路由符合预期且生产 data/ 指纹未变；忽略注释的逐字等价性校验通过。

qr_login.py

@@ -59,7 +59,7 @@ class QRLoginClient:
             return ""
 
     def _write_cookie(self, cookie: str) -> bool:
-        """F86：临时文件 + 原子替换写入；失败自动恢复备份，杜绝半截文件毁掉在用 Cookie。
+        """临时文件 + 原子替换写入；失败自动恢复备份，杜绝半截文件毁掉在用 Cookie。
         临时文件名带随机后缀：同进程多线程并发写同一 Cookie 文件不再互相覆盖 .tmp"""
         if not cookie or not cookie.strip():
             self.logger.error("Cookie 内容不能为空")
@@ -90,7 +90,7 @@ class QRLoginClient:
     def _backup_cookie(self, suffix: str = "backup") -> Path | None:
         if not self.cookie_file.exists():
             return None
-        ts = datetime.datetime.now().strftime("%Y%m%d_%H%M%S_%f")   # 第 91 条（P3）：微秒防同秒覆盖
+        ts = datetime.datetime.now().strftime("%Y%m%d_%H%M%S_%f")   # 微秒防同秒覆盖
         backup_path = self.cookie_file.with_name(
             f"{self.cookie_file.stem}.{suffix}.{ts}{self.cookie_file.suffix}"
         )
@@ -131,7 +131,7 @@ class QRLoginClient:
             return False
 
     def _is_cookie_valid(self) -> bool:
-        # F61：登录态凭据是 MUSIC_U 且必须非空——
+        # 登录态凭据是 MUSIC_U 且必须非空——
         # 只有 __csrf/NMTID 这类匿名 cookie 也存在时不能算"有效登录"
         cookies = load_cookies(str(self.cookie_file))
         return bool((cookies.get('MUSIC_U') or '').strip())
@@ -140,7 +140,7 @@ class QRLoginClient:
         cookies = load_cookies(str(self.cookie_file))
         present = [k for k in IMPORTANT_COOKIE_KEYS
                    if k == 'MUSIC_U' or (cookies.get(k) or '').strip()]
-        valid = bool((cookies.get('MUSIC_U') or '').strip())   # F61：以 MUSIC_U 为准
+        valid = bool((cookies.get('MUSIC_U') or '').strip())   # 以 MUSIC_U 为准
         info = {
             "file_path": str(self.cookie_file.absolute()),
             "file_exists": self.cookie_file.exists(),
@@ -209,8 +209,8 @@ class QRLoginClient:
                         musu_u = cookie_dict.get('MUSIC_U', '')
                         if not musu_u:
                             return False, "登录成功但未获取到 Cookie"
-                        # 第 97 条（P2-8）：序列化带上 __csrf——第 94 条只修了 main.py
-                        # 的两条 web 路径，CLI 换号后全站 __csrf 恒空、weapi 发评论必败
+                        # 序列化带上 __csrf——历史上只修了 web 的两条路径，
+                        # 漏了 CLI 换号：会导致全站 __csrf 恒空、weapi 发评论必败
                         serialized = f"MUSIC_U={musu_u};os=pc;appver=8.9.70;"
                         csrf = cookie_dict.get('__csrf', '')
                         if csrf: