refactor: 拆分 4 个巨石模块为包，清理过时注释并删除作废文档

为什么：单文件 1100~1900 行的巨石模块让「改一处要通读全文」；同时注释里残留
大量已删台账的编号，以及「Flask/FastAPI 双栈迁移期」这类已失实的架构描述，
会误导后来者按不复存在的架构去改代码。

拆分（对外导入路径不变，行为零变更）：
- music_downloader.py  -> music_downloader/（models/downloader/cover/_http/_log/_concurrency）
- auth_system.py       -> auth_system/（db/security/users/credits/ledger/mail/cards/backup...）
- music_api.py         -> music_api/（api/client/crypto/qr/cookies/compat/constants/errors）
- services/runtime.py  -> services/（api_service/_shared/_taskcore/downloads/batch/podcast/
  streaming/tasks）；services/runtime.py 保留为兼容门面

兼容性做法：各包用 __init__.py 以 __all__ 原样再导出全部符号，既有调用点
（auth_system.xxx / services.xxx / from music_api import Y）零改动；路径常量改为经包属性
动态读取（auth_system.DB_PATH），否则测试的 monkeypatch 会静默失效并写到生产库。

修复 9 处代码损伤（上一轮注释清理把 `()` 当「空括号残留」删掉所致；用「与拆分前逐字
等价」校验逐一定位，静态检查只会报出其中 4 处）：
- core/config.py  ).strip() or '*'
- core/state.py   threading.Lock() x2
- qr_login.py     datetime.now() / .strip()
- music_downloader/downloader.py  .lower()
- services/podcast.py  set() / time.time() x2

清理与删除：
- 删除 部署文档.md / 功能介绍.md / README_私有包警告.txt
- 清理指向已删台账与文档的过时编号注释；把「迁移期 / 两栈 / 双框架 / 已迁移」等
  失实描述改写为现状描述（保留 `<-> Flask /path` 映射表等仍有价值的契约来源说明）
- _mkpkg.py：公开包剔除清单去掉已不存在的文档名；私有包警告改为自包含
- pyproject.toml：补 pythonpath = ["."]，使裸跑 pytest 不再 import core 失败

验证：ruff 全通过；pyright 0 errors / 0 warnings（102 文件）；pytest 144 passed；
真实 uvicorn 冒烟 6 条路由符合预期且生产 data/ 指纹未变；忽略注释的逐字等价性校验通过。

web/routers/music.py

@@ -1,7 +1,7 @@
 # -*- coding: utf-8 -*-
-"""音乐端点（FastAPI 栈）——与 Flask 侧同名端点响应契约逐字段对齐。
+"""音乐端点。
 
-已迁移：
+端点：
 - 免费解析类（需登录，不扣次数）：
   POST/GET /api/v1/toplist       ↔ Flask /toplist
   POST/GET /api/v1/artist_songs  ↔ Flask /artist_songs
@@ -11,7 +11,7 @@
   POST/GET /api/v1/playlist      ↔ Flask /playlist
   POST/GET /api/v1/song          ↔ Flask /song（四种 type：url/name/lyric/json）
 
-参数获取沿用 Flask 口径：GET query / POST json / POST form 三路兼容。
+参数获取口径：GET query / POST json / POST form 三路兼容。
 上游调用走 music_api 的**异步**方法（原生并发，无同步桥）。
 """
 import asyncio
@@ -62,7 +62,7 @@ def _nick_lock() -> asyncio.Lock:
 
 
 async def mask_server_nickname(nick: str, user: SiteUser) -> str:
-    """非管理员响应中把服务器账号昵称替换为站点名（与 Flask _mask_server_nickname 同口径）。
+    """非管理员响应中把服务器账号昵称替换为站点名。
 
     - 管理员本人可见真实昵称；
     - 缓存 10 分钟内复用；上游拿不到时回落站点库里的最后已知昵称继续遮蔽。
@@ -175,7 +175,7 @@ async def search(user: LoginUser, request: Request):
     except APIException:
         return error('服务暂时不可用，请稍后再试', 500)
 
-    # 向后兼容字段 + 服务器昵称遮蔽（与 Flask 侧同口径）
+    # 向后兼容字段 + 服务器昵称遮蔽
     if result:
         for song in result:
             if song.get('type', 'song') == 'song' and 'artists' in song:
@@ -191,7 +191,7 @@ async def search(user: LoginUser, request: Request):
 # ============ 个人/全局账号 Cookie ============
 
 def _global_music_u() -> str:
-    """全局账号 MUSIC_U（5 分钟缓存，与 Flask main._global_music_u 同源同缓存）。"""
+    """全局账号 MUSIC_U（5 分钟缓存）。"""
     now = time.time()
     if GLOBAL_MUSIC_U_CACHE['v'] is None or now - GLOBAL_MUSIC_U_CACHE['ts'] > 300:
         try:
@@ -209,7 +209,7 @@ async def _resolve_user_cookies(
     """解析个人账号 Cookie（浏览器传入的 user_cookie，不落服务器）。
 
     全局账号（cookie.txt）零个人身份权限：浏览器提交的 MUSIC_U 若与全局账号一致
-    （全局 Cookie 泄露被当个人 Cookie 冒用），一律拒绝并记审计（与 Flask 同口径）。
+    （全局 Cookie 泄露被当个人 Cookie 冒用），一律拒绝并记审计。
     """
     ck = media.parse_cookie_str(data.get('user_cookie'))
     mu = (ck.get('MUSIC_U') or '').strip()