refs #740: enforce carrier VPD by MCP user

ai-web-agent-console/README.md

@@ -41,7 +41,9 @@ python3 -m venv .venv
 - `config/hmm_hr_query_contracts.json`: 질의별 필수 근거와 계산·시간 규칙
 
 실제 토큰, DB 비밀번호, Wallet, OCI private key는 Git에 넣지 않는다. 데모 사용자 JSON은
-`HMM_MCP_BEARER_TOKEN` 같은 환경변수 이름만 참조한다.
+`HMM_MCP_BEARER_TOKEN_E1001`처럼 사용자별 환경변수 이름만 참조한다. token 원문은 설정 JSON이나
+문서에 기록하지 않는다. 사용자 preset들이 같은 환경변수를 공유하면 화면의 사용자만 바뀌고 DB
+권한 문맥은 바뀌지 않으므로 허용하지 않는다.
 
 ## 검증