Istioの認証ポリシー（RequestAuthentication）を設定したが、JWTがないリクエストも通過してしまう。これはなぜか、またどうすべきか。

RequestAuthenticationは「トークンがあれば検証する」機能であり、トークンがない場合の拒否はAuthorizationPolicyのルール（notRequestPrincipals: [“*”] をDENYするなど）で行う。