Function mcp_auth_middleware 

pub async fn mcp_auth_middleware(
    req: Request<Body>,
    next: Next,
) -> Result<Response, StatusCode>

MCP 鉴权中间件：无 bearer 或 token 无效 → 401；否则注入 McpPrincipal。

注意：这是 T1 的最小实现——每请求同步查库 + 同步更新 last_used_at。 T6 会把 last_used_at 刷新改为节流（批量/惰性）以减负，鉴权查询本身保持同步 （这是认证的必要代价，无法乐观）。