io.github.arikanatakan/finvariant-mcp

材料明确标注无需密钥或环境变量，未见 API token、账户凭证或其他敏感认证信息的申请与使用，凭证泄露面较低。

材料中未声明任何远程端点或联网依赖，当前无证据表明会将用户数据外发到第三方服务；基于现有信息，网络外传风险较低。

系统检查项已标记为 executes-code，说明该工具具备在本机执行代码/进程的能力。这属于 MCP 工具的常规高权限能力，应在隔离环境中运行，但仅凭此点不足以上升为高风险。

其功能描述与财务报表校验相关，意味着可能接触用户提供的财务数据；但材料未说明需要超出该用途的文件系统、系统配置或其他资源访问权限，暂未见明显过度授权迹象。

正面因素是来自官方 Registry，且近一年内有更新；但无开源仓库、源码无法审计、许可证未声明、社区采用度很低。综合看供应链透明度一般，建议保守使用，但现有材料不足以认定为高风险。