obsidian-tc 修复 HITL 确认被拒后仍可执行破坏性调用的漏洞（1.31.4）

obsidian-tc 在 1.31.4 中修复了 Streamable HTTP 部署下人类拒绝确认后破坏性工具调用仍可完成的问题：配置 auth.jwtSecret 时，客户端只要回传有效绑定的 requestState，服务端就将其视为批准，导致 delete、跨文件夹移动、frontmatter 替换等操作在用户明确拒绝后仍被执行。