refactor: 拆分 4 个巨石模块为包，清理过时注释并删除作废文档

为什么：单文件 1100~1900 行的巨石模块让「改一处要通读全文」；同时注释里残留
大量已删台账的编号，以及「Flask/FastAPI 双栈迁移期」这类已失实的架构描述，
会误导后来者按不复存在的架构去改代码。

拆分（对外导入路径不变，行为零变更）：
- music_downloader.py  -> music_downloader/（models/downloader/cover/_http/_log/_concurrency）
- auth_system.py       -> auth_system/（db/security/users/credits/ledger/mail/cards/backup...）
- music_api.py         -> music_api/（api/client/crypto/qr/cookies/compat/constants/errors）
- services/runtime.py  -> services/（api_service/_shared/_taskcore/downloads/batch/podcast/
  streaming/tasks）；services/runtime.py 保留为兼容门面

兼容性做法：各包用 __init__.py 以 __all__ 原样再导出全部符号，既有调用点
（auth_system.xxx / services.xxx / from music_api import Y）零改动；路径常量改为经包属性
动态读取（auth_system.DB_PATH），否则测试的 monkeypatch 会静默失效并写到生产库。

修复 9 处代码损伤（上一轮注释清理把 `()` 当「空括号残留」删掉所致；用「与拆分前逐字
等价」校验逐一定位，静态检查只会报出其中 4 处）：
- core/config.py  ).strip() or '*'
- core/state.py   threading.Lock() x2
- qr_login.py     datetime.now() / .strip()
- music_downloader/downloader.py  .lower()
- services/podcast.py  set() / time.time() x2

清理与删除：
- 删除 部署文档.md / 功能介绍.md / README_私有包警告.txt
- 清理指向已删台账与文档的过时编号注释；把「迁移期 / 两栈 / 双框架 / 已迁移」等
  失实描述改写为现状描述（保留 `<-> Flask /path` 映射表等仍有价值的契约来源说明）
- _mkpkg.py：公开包剔除清单去掉已不存在的文档名；私有包警告改为自包含
- pyproject.toml：补 pythonpath = ["."]，使裸跑 pytest 不再 import core 失败

验证：ruff 全通过；pyright 0 errors / 0 warnings（102 文件）；pytest 144 passed；
真实 uvicorn 冒烟 6 条路由符合预期且生产 data/ 指纹未变；忽略注释的逐字等价性校验通过。

web/routers/auth.py

@@ -1,18 +1,18 @@
 # -*- coding: utf-8 -*-
-"""认证操作端点（FastAPI 栈）——与 Flask 侧同名端点响应契约逐字段对齐。
+"""认证操作端点。
 
-已迁移：
+端点：
 - POST /api/v1/auth/logout    ↔ Flask /auth/logout（顶号：递增 login_seq + 删 Cookie）
 - POST /api/v1/auth/heartbeat ↔ Flask /auth/heartbeat
 - POST /api/v1/auth/ann_seen  ↔ Flask /auth/ann_seen
 - POST /api/v1/auth/login     ↔ Flask /auth/login（密码校验 + 失败锁定 + 管理员 2FA 转票据）
 
 设计：
-- 登录失败锁定与管理员 2FA 票据表**复用 web.auth_state 的模块级状态**，两栈共享同一份
+- 登录失败锁定与管理员 2FA 票据表**复用 web.auth_state 的模块级状态**，全进程共享同一份
   计数/票据，避免「换个框架打就绕过锁定」。
 - 密码校验（PBKDF2，10 万次迭代，CPU 密集）与库操作经 asyncio.to_thread 执行，
   不阻塞事件循环。
-- 会话 Cookie 由 core.session 签发（与 Flask 同格式同密钥），删 Cookie 亦同口径。
+- 会话 Cookie 由 core.session 签发（沿用同一格式与密钥，存量会话继续有效），删 Cookie 亦同口径。
 """
 import asyncio
 import os
@@ -52,7 +52,7 @@ def _cookie_kwargs() -> dict:
 
 
 def _login_response(payload: dict, message: str, uid: int, seq: int) -> JSONResponse:
-    """构造带会话 Cookie 的成功响应（Cookie 格式与 Flask 一致）。"""
+    """构造带会话 Cookie 的成功响应（沿用同一 Cookie 格式）。"""
     resp = JSONResponse(content={'status': 200, 'success': True, 'message': message, 'data': payload})
     cookie = cs.dumps(deps.secret_key(), {
         'site_uid': uid, 'site_uid_seq': seq, 'site_uid_ts': int(time.time()),
@@ -78,7 +78,7 @@ async def logout(user: Annotated[SiteUser | None, Depends(current_user)]):
 
 @router.post('/auth/heartbeat')
 async def heartbeat(user: Annotated[SiteUser | None, Depends(current_user)]):
-    """会话保活：返回最新次数；超限/失效给 401（expired 语义与 Flask 同）。"""
+    """会话保活：返回最新次数；超限/失效给 401（expired 语义不变）。"""
     if user is None:
         return error('登录已失效', 401, error_code='unauthorized')
     row = await repo.get_user_by_id(user.id)