FastMCP 直接调用跳过转换后组件的授权检查

FastMCP 维护者确认并修复了一个组件授权绕过漏洞，在 3.4.10 和 4.1.2 中改为对最终转换后的工具、资源、模板和提示词执行鉴权。受影响的是 fastmcp 与 fastmcp-slim 的 3.0.0 至 3.4.9 及 4.0.0 至 4.1.1。原因是列表路径会先应用 transform 再对转换后组件鉴权，而直接查找路径在应用 transform 后直接返回组件，不再检查其适用的 AuthCheck，因此知道组件标识的低权限客户端可以调用被策略拒绝的工具，或读取受保护的资源与提示词。报告者用进程内服务器在 4.1.0 上复现：没有 admin scope 的调用者列出工具为空，直接调用却返回了受保护内容。修复还让被拒绝的具体资源遮蔽同 URI 的资源模板，防止代理模板从上游取回同一受保护资源。