Le middleware CSRF rejetait tout POST /mcp en 403 avant la route ; les tests passaient car leur client porte session + CSRF. Test de régression : client anonyme Bearer seul (200 avec jeton, 401 sans).
Le middleware CSRF rejetait tout POST /mcp en 403 avant la route ; les tests passaient car leur client porte session + CSRF. Test de régression : client anonyme Bearer seul (200 avec jeton, 401 sans).