MCP 的 Step-Up 只是权限升级，不是身份验证升级

MCP 的 Step-Up Authorization Flow 只处理权限不足：服务器返回 403 与 `insufficient_scope`，客户端再以更宽的 scope 重新授权。