Function admin_guard_allows 

fn admin_guard_allows<E>(session: Option<Result<Option<UserRole>, E>>) -> bool

admin_guard 的放行判定。

session 为 None 表示请求没有 session cookie；Some(Ok(None)) 表示 token 无效、过期或世代号不匹配。只有查询出错（Some(Err(_))）才 fail-open。