feat(crypto-service): gRPC-каркас сервиса криптографии (КриптоПро JCP)

- services/crypto-service/proto/crypto.proto — protobuf-контракт VerifyXMLDSig/SignXMLDSig/Health, package ru.zetit.bridgeandjoins.crypto.v1
- services/crypto-service/build.gradle.kts — Gradle Java 21 + protobuf-плагин + shadowJar
- services/crypto-service/src/main/java/.../CryptoServer.java — точка входа на UDS (Netty Epoll)
- services/crypto-service/src/main/java/.../CryptoServiceImpl.java — gRPC-биндинг
- services/crypto-service/src/main/java/.../{Verify,Sign,Health}Handler.java — заглушки операций
- services/crypto-service/src/main/java/.../KeystoreProvider.java — абстракция cryptopro/validata/vipnet/stub
- services/crypto-service/Dockerfile — Liberica JDK 21 → shadowJar → slim
- internal/cryptocli/client.go — Go-клиент по UDS, реализует m2mcore.CryptoVerifier (M1 stub)
- internal/cryptocli/client_test.go — тесты на доступность сокета и ErrNotImplemented
- deploy/docker-compose/docker-compose.yml — добавлен сервис crypto-service с UDS-volume

Реальная криптография КриптоПро JCP подключается после получения
лицензии и jar (положить в services/crypto-service/libs/jcp.jar) и
открытия Maven Central через прокси zetit (для grpc-java/santuario).

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

internal/cryptocli/README.md

@@ -0,0 +1,29 @@
+# internal/cryptocli — Go-клиент crypto-service
+
+Реализация `m2mcore.CryptoVerifier` поверх gRPC по Unix Domain Socket.
+
+## Состояние
+
+На M1 — заглушка. Подключается к UDS-сокету crypto-service, проверяет
+доступность и возвращает `ErrNotImplemented`. Этого достаточно, чтобы:
+
+- m2m-core и другие сервисы могли инжектить клиент без условных веток;
+- логи различали «сокета нет» (например, контейнер crypto-service не
+  запущен) от «сокет есть, но криптография не подключена» (нет лицензии
+  КриптоПро JCP).
+
+## Когда станет полноценным
+
+После генерации gRPC-стабов из `services/crypto-service/proto/crypto.proto`
+(требует `protoc` + плагины), что в свою очередь требует доступа к
+Maven Central / Go module proxy через прокси zetit.
+
+## API
+
+```go
+cli := cryptocli.NewClient("/run/bj/crypto.sock")
+info, err := cli.VerifyXMLDSig(ctx, signedXML)
+if errors.Is(err, cryptocli.ErrNotImplemented) {
+    // M1: запасной путь (ручная проверка / откладывание).
+}
+```