fix(packaging): --generate-key 打印的 PinnedKey 改成 rustfmt 保持的多行形态（M265）

`--generate-key` 与「信任表是空的」报错里给人粘贴的 `PinnedKey` 原来是单行：
    PinnedKey { key_id: "…", public_key_hex: "<64 hex>" },
这一行有 113+ 字符（即使 key_id 为空），超出 .rustfmt.toml 的 max_width = 100，
所以 `cargo fmt` **必然**把它拆成 4 行 —— 人贴单行 → 下一轮 fmt 改动 → 谁忘了跑 fmt
就把 fmt 红带进 main（T30 那次就是这条路径）。

改的是「打印模板」与文档，不是解析器（KID_RE 的 \s* 本来就吃两种形态）：
- 新增 render_pinned_key()，字段各占一行、元素缩进 4/字段缩进 8、结尾逗号，
  与 trust.rs 里 cargo fmt 生成的形状逐字一致；两条打印路径都走它。
- 提示文案不再暗示「贴完还要 fmt」，改成「贴完直接提交，不用再跑 fmt」。
- docs：signing.md §3 与 signing-runbook.md §2/§4/§8 的「那一行」→「那一段（4 行）」，
  并在 runbook §7 明写这条断言在没装 rustfmt 时的退化边界。
- --self-test 新增形态断言：① 渲染结果 == 4 行期望字面量 ② 形状与 trust.rs 现存条目
  （字段值抹平后逐行）一致 ③ 单行必然超 max_width、多行每行都不超 ④ 贴进标记之间能解析
  ⑤ 有 rustfmt 时在临时副本上真跑一遍，要求粘贴块字节不变（没有则打 note 跳过，不装成验过）。

packaging/docs/signing.md

@@ -57,15 +57,18 @@ manifest.json（字节）──签名──> manifest.json.sig
 ## 3. 一次性录入（只做一次）
 
 ```bash
-# ① 生成：打印一段 Secret JSON + 一行可以直接贴进 trust.rs 的 PinnedKey
+# ① 生成：打印一段 Secret JSON + 一段可以直接贴进 trust.rs 的 PinnedKey（多行，4 行）
 python3 packaging/sign_manifest.py --generate-key --key-id ull-release-2026a
 ```
 
 * 打印出来的 **第一行 JSON**（含 `seed_hex`）= 私钥，**只**贴进仓库 Secret：
   Settings → Secrets and variables → Actions → New repository secret，名字
   **`ULL_MANIFEST_SIGNING_KEY`**。
-* 打印出来的 **`PinnedKey { … }` 那一行**贴进 `crates/core/src/update/trust.rs` 的
+* 打印出来的 **`PinnedKey { … }` 那一段（4 行，含结尾逗号）**贴进 `crates/core/src/update/trust.rs` 的
   `>>> PINNED-KEYS >>>` 与 `<<< PINNED-KEYS <<<` 标记之间（标记本身不要动，脚本按它解析）。
+* 那个形状就是 `cargo fmt`（`.rustfmt.toml` 的 `max_width = 100`）**会保持**的形态：**贴完不用再跑
+  `cargo fmt`**。反过来，把它压成一行反而会被 fmt 拆开 —— 那种「粘贴 → 下一轮 fmt 改动 → 谁忘了跑 fmt
+  就把红带进 main」的复发路径由 `sign_manifest.py --self-test` 钉住（`render_pinned_key` 的形态断言）。
 * 提交这次改动（公钥进 git 是对的：它是信任锚，本来就该公开可审计）。
 
 ### 私钥纪律（违反任何一条都算事故）
@@ -97,7 +100,7 @@ python3 packaging/sign_manifest.py --verify-pinned dist/manifest.json  # ④ 用
 | 现象 | 原因 | 怎么补 |
 |---|---|---|
 | `没有签名密钥` | Secret `ULL_MANIFEST_SIGNING_KEY` 没配 / 名字拼错 | 按 §3 录入 |
-| `信任表是空的` | `trust.rs` 里还没钉任何公钥 | 把 §3 打印的 `PinnedKey` 那行贴进标记之间 |
+| `信任表是空的` | `trust.rs` 里还没钉任何公钥 | 把 §3 打印的 `PinnedKey` 那段（4 行）贴进标记之间 |
 | `签名钥（…）不在信任表里` | Secret 与 `trust.rs` 是**两把不同的钥** | 用同一把钥重跑 §3，或回滚 `trust.rs` 的改动 |
 | `签出来的签名自己验不过` | 实现/环境异常 | 不要发布；把 `--self-test` 输出贴进 issue |