feat(privacy): 关掉昵称脱敏 —— 脱敏有损，撞名就分不出博主

需求：评论栏/作品栏要能分清是哪个博主。修好分组字段之后名字仍带星号，因为上游作为
教学版默认对昵称做中间脱敏（首尾各留 1 字，中间星号）。这个脱敏是**有损**的：

  「张三」和「张四」都变成「张*」
  「小明老师」和「小刚老师」都变成「小***师」

而本仓库的用途是监控一批公开创作者账号，分清谁是谁正是这一层要干的事。所以关掉它。

* config/base_config.py 新增 MASK_NICKNAME = False（和 INJECT_ALL_COOKIES 一样是个
  开关，不是删代码 —— 改回 True 就恢复上游行为）。
* tools/user_hash.py 的 mask_nickname 读这个开关，关闭时原样返回。读的是模块属性而
  不是导入值，测试才能 monkeypatch。脱敏实现本身一字未动。
* 顺带修一个数据陈旧问题：评论是去重后直接 continue 的，昵称只在首次入库时写一次，
  于是开关一改（或评论者改名）老评论永远停在旧值 —— 而重采是唯一能拿到新值的途径。
  现在已存在的评论会跟着刷新昵称（作品那边的 creator_name 早就是这么做的）。
* anonymous 的 creator_hash 保持不变：那是分组用的稳定键，不是显示名。

测试：
* 三个隐私套件 + weibo 的 autouse fixture 强制把开关打开 —— 它们验的是**脱敏机制
  本身**，机制仍然必须正确，所以显式打开来测，而不是让它们随部署配置漂。
* test_mask_and_hash_tools 改成两个方向都覆盖（开着脱敏 / 关着脱敏）。
* test_tieba_extractor.py 里 8 处字面量的脱敏期望值换成真实昵称 —— 提取器现在就是
  返回原文的，期望值理应跟着改（这一条是行为变更的直接后果，不是测试放宽）。
* 新增一条：已入库的评论昵称会随重采刷新（且不会因刷新而重复插入）。

UPSTREAM.md

@@ -46,7 +46,7 @@ Dockerfile / .dockerignore / docker-compose.yml     服务器部署用
 |---|---|
 | `cmd_arg/arg.py` | typer 选项：`--enable_cdp_mode`、`--inject_all_cookies`、`--save_login_state`、`--cookies_file`、`--crawler_max_sleep_sec`，以及对应的 `config.*` 回写 |
 | `api/schemas/crawler.py` | `CrawlerStartRequest` 的若干**可选**字段（默认 `None`，不传则不加对应 CLI 参数） |
-| `config/base_config.py` | `INJECT_ALL_COOKIES = False` |
+| `config/base_config.py` | `INJECT_ALL_COOKIES = False`；`MASK_NICKNAME = False`（关掉昵称脱敏，见第 3 节） |
 | `api/routers/__init__.py` | 导出新增的 router |
 | `requirements.txt` | 补上 `websockets`（上游 `pyproject.toml` 里有、`requirements.txt` 里漏了） |
 | `tests/conftest.py` | 新增 `_bypass_auth_for_non_auth_suites` fixture |
@@ -59,6 +59,7 @@ Dockerfile / .dockerignore / docker-compose.yml     服务器部署用
 | `api/routers/websocket.py` | 两个 WS 路由加 `dependencies=[Depends(require_ws_auth)]` | 上游若新增 WS 路由，**必须同样加上**，否则那条流是裸奔的 |
 | `api/services/crawler_manager.py` | 解释器探测替换硬编码 `uv run`；`_build_command` 转发新增参数；新增 `is_busy()` / `run_and_wait()` 与完成事件 | 留意 `_build_command` 的参数拼装 |
 | `media_platform/xhs/login.py` | `login_by_cookies` 在 `INJECT_ALL_COOKIES` 打开时注入**全部** cookie（默认关闭，行为不变） | 小改动，好合并 |
+| `tools/user_hash.py` | `mask_nickname` 改为读 `config.MASK_NICKNAME`，本仓库默认**不脱敏**（原样返回）。上游作为教学版默认脱敏，但那是有损的 ——「张三」「张四」都成「张*」，而分清谁是谁正是监控这一层要干的活。脱敏实现本身没删，改回 `True` 即恢复上游行为 | 与 `config/base_config.py` 一起改，两处不同步会不一致 |
 
 ### 4. 上游 bug 修复（建议回馈上游）