baseEndpoint 주석을 매니페스트 endpoint 정책에 맞게 고친다

6078852에서 Tool 실행 주소의 원천이 배포 설정에서 Tool Service 매니페스트로
바뀌었으나 application.yml 주석은 이전 불변식을 그대로 단언하고 있었다.
"nothing a Tool Service returns can change where MCP sends the call"은
지금 거짓이다.

baseEndpoint의 현재 역할(상대 endpoint 해석 기준)을 적고, 검증이 scheme과
host 확인뿐이어서 매니페스트가 임의의 HTTP(S) host를 지정할 수 있다는 점을
함께 남긴다. 이 신뢰 경계 변화는 코드 어디에도 기록돼 있지 않았다.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/main/resources/application.yml

@@ -89,8 +89,10 @@ mcp:
     # HTTP(S) Portal API or local Spring resource location such as file:./config/local-toolserver-info-sample-v1.json.
     registry-url: ${MCP_PORTAL_REGISTRY_URL:}
     refresh-interval-seconds: ${MCP_PORTAL_REFRESH_INTERVAL_SECONDS:300}
-  # Declared per deployment. baseEndpoint is the execution address and is owned by this file only:
-  # nothing a Tool Service returns can change where MCP sends the call.
+  # Declared per deployment. baseEndpoint is only the base a relative manifest endpoint resolves against.
+  # The execution address itself comes from the Tool Service manifest (endpoint or _meta.endpoint), and an
+  # absolute HTTP(S) value there decides where MCP sends the call. Only scheme and host are validated, so
+  # a manifest can point MCP at any HTTP(S) host: keep manifest sources trusted.
   bundles: []
   trace:
     enabled: true    # Rejects oversized MCP request bodies before controller processing.