[Client] Add OAuth 2025-03-26 metadata backcompat fallback

Context

Older MCP servers (spec revision 2025-03-26) do not publish /.well-known/oauth-protected-resource. The client must fall back to discovering OAuth metadata directly from the MCP server origin's /.well-known/oauth-authorization-server and, if missing, from the issuer derived by URL convention.

Scope

• Order of operations when WWW-Authenticate lacks resource_metadata:
  1. Try /.well-known/oauth-protected-resource at MCP server origin.
  2. Try /.well-known/oauth-authorization-server at MCP server origin.
  3. Fall back to OIDC discovery (/.well-known/openid-configuration).
• Track protocol revision negotiated during initialize; only enable fallback chain when the server announced 2025-03-26.

Conformance scenarios unblocked

auth/2025-03-26-oauth-metadata-backcompat, auth/2025-03-26-oauth-endpoint-fallback.

Dependencies

Blocked by: #317, #318.

Acceptance

• Unit tests covering all fallback branches.
• Conformance: 2 baseline scenarios pass.

cc @soyuka

Bắt đầu bằng cách lần theo quá trình thương lượng initialize của PHP client và cách xử lý WWW-Authenticate khi resource_metadata không có. Triển khai và kiểm thử các nhánh Discovery theo thứ tự cho MCP origin và URL được suy ra từ issuer, với điều kiện là revision 2025-03-26. Xác minh các nhánh unit-test và các kịch bản conformance auth/2025-03-26-oauth-metadata-backcompat và auth/2025-03-26-oauth-endpoint-fallback sau khi các blocker #317 và #318 được giải quyết.