io.github.chrischall/musicbrainz-mcp

需要 MUSICBRAINZ_OAUTH_CLIENT_ID、MUSICBRAINZ_OAUTH_CLIENT_SECRET、MUSICBRAINZ_OAUTH_REFRESH_TOKEN 以及 USER_AGENT。OAuth 客户端密钥和刷新令牌均属敏感凭证，若泄露可能导致代表用户提交标签、评分或集合等操作被滥用；但从材料看其用途与声明功能相关，未见明显越权红旗。

描述表明其功能涉及搜索/浏览 MusicBrainz 元数据、封面艺术，以及向 MusicBrainz 提交标签/评分/收藏，因而预期会与 MusicBrainz 相关服务通信。材料未列出具体 host，存在外发范围不够透明的问题，但未见将数据发送到不明或无关端点的明确证据。

系统检查项显示该工具会执行代码/作为本地 MCP 进程运行。这属于 MCP 工具的常规能力；当前材料未显示其申请异常系统权限、执行无关命令或进行高危持久化操作。

从材料可确认其至少会访问环境变量中的凭证，并处理与音乐元数据查询及用户提交相关的数据。README 缺失，未明确说明是否读写本地文件或缓存位置，因此数据访问边界不够清晰；但现有信息也未显示超出声明功能的过度授权。

来源为官方 Registry，且开源并在近一年内有更新，具备较好的可审计性与维护信号。社区 star 数较低、许可证未声明会略降可信度，但不足以构成高风险供应链红旗。