feat(mcp): garde /_mcp unifié statique+OAuth, audience & usage (#114)

Le garde before_request de /_mcp accepte désormais les jetons OAuth
opaques (store.get_token_by_access) en plus des jetons statiques
colibre_*, avec vérification d'audience (resource == mcp_resource)
et d'expiration. Le 401 porte resource_metadata pour le découverte
RFC 9728. Sur succès, incrémente le compteur du bon store et
journalise dans mcp_usage (best-effort).

Corrige aussi une régression d'assertion stricte sur le header
WWW-Authenticate dans test_app_wiring.py, cassée par le nouveau
suffixe resource_metadata.

tests/mcp/test_app_wiring.py

@@ -35,7 +35,9 @@ def test_mcp_endpoint_guarded_and_csrf_exempt(monkeypatch, tmp_path):
         # ce qui prouve exemption CSRF + garde câblés sur /_mcp.
         resp = client.post("/_mcp", json={"jsonrpc": "2.0", "method": "ping", "id": 1})
         assert resp.status_code == 401
-        assert resp.headers.get("WWW-Authenticate") == 'Bearer realm="colibre-mcp"'
+        assert resp.headers.get("WWW-Authenticate", "").startswith(
+            'Bearer realm="colibre-mcp"'
+        )
     finally:
         # Restaurer les objets-modules d'origine et purger ceux créés par le
         # reload, pour ne pas polluer les tests suivants.