refactor: 拆分 4 个巨石模块为包，清理过时注释并删除作废文档

为什么：单文件 1100~1900 行的巨石模块让「改一处要通读全文」；同时注释里残留
大量已删台账的编号，以及「Flask/FastAPI 双栈迁移期」这类已失实的架构描述，
会误导后来者按不复存在的架构去改代码。

拆分（对外导入路径不变，行为零变更）：
- music_downloader.py  -> music_downloader/（models/downloader/cover/_http/_log/_concurrency）
- auth_system.py       -> auth_system/（db/security/users/credits/ledger/mail/cards/backup...）
- music_api.py         -> music_api/（api/client/crypto/qr/cookies/compat/constants/errors）
- services/runtime.py  -> services/（api_service/_shared/_taskcore/downloads/batch/podcast/
  streaming/tasks）；services/runtime.py 保留为兼容门面

兼容性做法：各包用 __init__.py 以 __all__ 原样再导出全部符号，既有调用点
（auth_system.xxx / services.xxx / from music_api import Y）零改动；路径常量改为经包属性
动态读取（auth_system.DB_PATH），否则测试的 monkeypatch 会静默失效并写到生产库。

修复 9 处代码损伤（上一轮注释清理把 `()` 当「空括号残留」删掉所致；用「与拆分前逐字
等价」校验逐一定位，静态检查只会报出其中 4 处）：
- core/config.py  ).strip() or '*'
- core/state.py   threading.Lock() x2
- qr_login.py     datetime.now() / .strip()
- music_downloader/downloader.py  .lower()
- services/podcast.py  set() / time.time() x2

清理与删除：
- 删除 部署文档.md / 功能介绍.md / README_私有包警告.txt
- 清理指向已删台账与文档的过时编号注释；把「迁移期 / 两栈 / 双框架 / 已迁移」等
  失实描述改写为现状描述（保留 `<-> Flask /path` 映射表等仍有价值的契约来源说明）
- _mkpkg.py：公开包剔除清单去掉已不存在的文档名；私有包警告改为自包含
- pyproject.toml：补 pythonpath = ["."]，使裸跑 pytest 不再 import core 失败

验证：ruff 全通过；pyright 0 errors / 0 warnings（102 文件）；pytest 144 passed；
真实 uvicorn 冒烟 6 条路由符合预期且生产 data/ 指纹未变；忽略注释的逐字等价性校验通过。

services/streaming.py

@@ -0,0 +1,63 @@
+# -*- coding: utf-8 -*-
+"""同步流式响应垫片（音频分段透传）。
+
+（自 services/runtime.py 拆出，行为与原实现一致。）
+"""
+
+
+
+class _SyncStreamResponse:
+    """同步流式响应包装（把 aiohttp 的异步流按需拉成同步迭代）。
+
+    供流式下载使用：worker 是同步线程，这里经 core.async_bridge 在后台事件循环
+    逐块取数据，避免引入 requests 依赖（Flask 已删除、requests 已移出依赖）。
+    """
+
+    def __init__(self, url: str, timeout: float):
+        from core import async_bridge
+        self._bridge = async_bridge
+        self._url = url
+        self._timeout = timeout
+        self._agent = None
+        self.status = 0
+        self.headers: dict[str, str] = {}
+        self._resp = None
+
+    def __enter__(self):
+        self._agent = self._bridge.run_sync(self._open())
+        self.status = self._agent[0]
+        self.headers = self._agent[1]
+        return self
+
+    async def _open(self):
+        from core.http_client import client
+        resp = await client.open('GET', self._url, headers={
+            'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 '
+                          '(KHTML, like Gecko) Safari/537.36',
+            'Referer': 'https://music.163.com/',
+        }, timeout=self._timeout)
+        return resp.status, dict(resp.headers), resp
+
+    def iter_content(self, chunk_size: int = 256 * 1024):
+        assert self._agent is not None
+        resp = self._agent[2]
+        it = resp.content.iter_chunked(chunk_size)
+        while True:
+            try:
+                chunk = self._bridge.run_sync(it.__anext__())
+            except StopAsyncIteration:
+                break
+            yield chunk
+
+    def __exit__(self, *exc):
+        if self._agent is not None and self._agent[2] is not None:
+            try:
+                self._agent[2].close()
+            except Exception:
+                pass
+        return False
+
+
+def _stream_open(url: str, timeout: float = 60) -> _SyncStreamResponse:
+    """打开同步可迭代的流式响应（见 _SyncStreamResponse）。"""
+    return _SyncStreamResponse(url, timeout)