feat: живой цикл M2M с НРД + мастер установки ключа на флешку

Инфраструктура M2M (живой обмен с НРД через ИШ):
- обработка M2MTransferResponse: ERROR(M2Mxx) → заявка Отклонена, сохранение
  ответа; INFO → ждём Decision; идемпотентность поллера
- fallback-корреляция ответов с нулевым GUID (M2M14/M2M17) по FIFO
- сырой XML ответа НРД в карточке заявки (для пересылки в ТП)
- тестовый пакет роботу приведён к эталону m2m_robot_samples (CostInfo=Yes,
  4 бумаги, IsolationStatus, DocumentSeries=сценарий); override паспорта
- редирект из теста сразу в карточку заявки

Мастер установки ключа Валидаты на флешку (admin/setup/keywizard):
- пошаговый: загрузка .7z+пароль → выбор флешки → запись → справочник
  сертификатов (CRL) → перезапуск+проверка ИШ → готово
- привилегированный воркер (bj-keymedia) в host-namespace через файл-обмен,
  bj-server остаётся в песочнице
- сохранение структуры профиля архива (spr<N>), перечисление съёмных USB

Прочее:
- пакет-доказательство для ТП НРД + форма регистрации участника M2M
- эталонные образцы робота (DOC/m2m_robot_samples)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

internal/m2mcore/pgrepo.go

@@ -54,7 +54,7 @@ func (r *PostgresRepository) Close() {
 // guid уже есть, возвращает её (без модификации).
 func (r *PostgresRepository) Create(ctx context.Context, deal *Deal) (*Deal, error) {
 	reqXML, _ := marshalXMLIfPresent(deal.Request)
-	respXML, _ := marshalXMLIfPresent(deal.Response)
+	respXML := responseBytes(deal)
 	decisionXML, _ := marshalXMLIfPresent(deal.Decision)
 	stages, err := json.Marshal(deal.Stages)
 	if err != nil {
@@ -97,7 +97,7 @@ func (r *PostgresRepository) GetByID(ctx context.Context, id string) (*Deal, err
 // Update сохраняет полное состояние сделки (для простоты — без diff).
 func (r *PostgresRepository) Update(ctx context.Context, deal *Deal) error {
 	reqXML, _ := marshalXMLIfPresent(deal.Request)
-	respXML, _ := marshalXMLIfPresent(deal.Response)
+	respXML := responseBytes(deal)
 	decisionXML, _ := marshalXMLIfPresent(deal.Decision)
 	stages, err := json.Marshal(deal.Stages)
 	if err != nil {
@@ -229,6 +229,8 @@ func scanRow(r rowScanner) (*Deal, error) {
 		}
 	}
 	if len(respXML) > 0 {
+		// Сохраняем точные байты для дословного показа/пересылки в ТП НРД.
+		d.RawResponse = respXML
 		var v m2m.M2MTransferResponse
 		if err := nsdxml.Unmarshal(respXML, &v); err == nil {
 			d.Response = &v
@@ -254,6 +256,18 @@ func dealsSelectSQL() string {
            FROM m2m_core.deals`
 }
 
+// responseBytes возвращает байты ответа МОСТ для записи в response_xml:
+// точные байты от НРД (RawResponse), если они есть, иначе пере-сериализация
+// разобранной структуры. Точные байты предпочтительны — их можно дословно
+// переслать в техподдержку НРД.
+func responseBytes(deal *Deal) []byte {
+	if len(deal.RawResponse) > 0 {
+		return deal.RawResponse
+	}
+	b, _ := marshalXMLIfPresent(deal.Response)
+	return b
+}
+
 // marshalXMLIfPresent сериализует *T в windows-1251 XML (или возвращает nil).
 func marshalXMLIfPresent(v any) ([]byte, error) {
 	if v == nil {