Function authenticate 

pub fn authenticate<T>(
    store: &Arc<KeyStore>,
    req: &Request<T>,
) -> Result<Option<Arc<KeyRecord>>, Status>

提取 + 校验 Bearer token，返回命中的 KeyRecord；鉴权失败返回 Status

• store 未配置 → 返回 Ok(None)（legacy 全放行）
• 有 store 但 metadata 缺失 / token 无效 / 过期 → Err