refactor: 拆分 4 个巨石模块为包，清理过时注释并删除作废文档

为什么：单文件 1100~1900 行的巨石模块让「改一处要通读全文」；同时注释里残留
大量已删台账的编号，以及「Flask/FastAPI 双栈迁移期」这类已失实的架构描述，
会误导后来者按不复存在的架构去改代码。

拆分（对外导入路径不变，行为零变更）：
- music_downloader.py  -> music_downloader/（models/downloader/cover/_http/_log/_concurrency）
- auth_system.py       -> auth_system/（db/security/users/credits/ledger/mail/cards/backup...）
- music_api.py         -> music_api/（api/client/crypto/qr/cookies/compat/constants/errors）
- services/runtime.py  -> services/（api_service/_shared/_taskcore/downloads/batch/podcast/
  streaming/tasks）；services/runtime.py 保留为兼容门面

兼容性做法：各包用 __init__.py 以 __all__ 原样再导出全部符号，既有调用点
（auth_system.xxx / services.xxx / from music_api import Y）零改动；路径常量改为经包属性
动态读取（auth_system.DB_PATH），否则测试的 monkeypatch 会静默失效并写到生产库。

修复 9 处代码损伤（上一轮注释清理把 `()` 当「空括号残留」删掉所致；用「与拆分前逐字
等价」校验逐一定位，静态检查只会报出其中 4 处）：
- core/config.py  ).strip() or '*'
- core/state.py   threading.Lock() x2
- qr_login.py     datetime.now() / .strip()
- music_downloader/downloader.py  .lower()
- services/podcast.py  set() / time.time() x2

清理与删除：
- 删除 部署文档.md / 功能介绍.md / README_私有包警告.txt
- 清理指向已删台账与文档的过时编号注释；把「迁移期 / 两栈 / 双框架 / 已迁移」等
  失实描述改写为现状描述（保留 `<-> Flask /path` 映射表等仍有价值的契约来源说明）
- _mkpkg.py：公开包剔除清单去掉已不存在的文档名；私有包警告改为自包含
- pyproject.toml：补 pythonpath = ["."]，使裸跑 pytest 不再 import core 失败

验证：ruff 全通过；pyright 0 errors / 0 warnings（102 文件）；pytest 144 passed；
真实 uvicorn 冒烟 6 条路由符合预期且生产 data/ 指纹未变；忽略注释的逐字等价性校验通过。

web/app.py

@@ -1,11 +1,8 @@
 # -*- coding: utf-8 -*-
 """FastAPI 应用工厂。
 
-设计（strangler 迁移）：
-- 已迁移的路由挂在 `/api/v1` 前缀下，与遗留 Flask 的同名路由（根路径）并存，
-  便于逐端点比对响应契约（.zcode/refactor/parity.py）。
-迁移已完成：Flask 巨石（main.py/auth_routes.py）已删除，本应用即唯一服务端。
-`api_prefix` 为空即直接服务前端使用的根路径；非空则挂在给定前缀下（用于契约比对）。
+本应用即唯一服务端：全部端点在 web/routers/ 下按业务域注册。
+`api_prefix` 用于把整套路由挂到指定前缀下（便于契约测试与反向代理）。
 """
 
 from contextlib import asynccontextmanager
@@ -50,7 +47,7 @@ async def _lifespan(app: FastAPI):
 
 
 def _init_audio_secret() -> None:
-    """注入音频签名密钥（与 Flask 同源，令两栈 token 互认）。"""
+    """注入音频签名密钥（与 auth_system 同源，令直链 token 与服务端一致）。"""
     try:
         import auth_system
 
@@ -64,7 +61,7 @@ def create_app(api_prefix: str = '') -> FastAPI:
 
     api_prefix：路由挂载前缀。
       - ''（默认）：直接服务前端使用的根路径（生产形态）
-      - '/api/v1'：挂在子前缀下（契约比对脚本 .zcode/refactor/parity.py 用）
+      - '/api/v1'：挂在子前缀下（便于契约测试与反向代理）
     """
     _init_audio_secret()
 
@@ -85,7 +82,7 @@ def create_app(api_prefix: str = '') -> FastAPI:
     if _static_dir.is_dir():
         app.mount('/static', StaticFiles(directory=str(_static_dir)), name='static')
 
-    # 已迁移路由：统一挂 /api/v1（迁移期与 Flask 根路径并存，便于对比）
+    # 业务路由：统一挂到 api_prefix（默认空前缀，即前端使用的根路径）
     app.include_router(system_router.router, prefix=api_prefix, tags=['system'])
     app.include_router(site_router.router, prefix=api_prefix, tags=['site'])
     app.include_router(music_router.router, prefix=api_prefix, tags=['music'])
@@ -101,7 +98,7 @@ def create_app(api_prefix: str = '') -> FastAPI:
     app.include_router(register_router.router, prefix=api_prefix, tags=['auth'])
     app.include_router(admin_site_router.router, prefix=api_prefix, tags=['admin'])
     app.include_router(download_router.router, prefix=api_prefix, tags=['download'])
-    # 首页与静态资源（迁移完成形态；fallback 模式下同路径也能由 Flask 提供）
+    # 首页（根路径，不挂前缀）
     app.include_router(index_router.router, tags=['index'])
 
     install_error_handlers(app)