io.github.CSOAI-ORG/subscription-tracker-ai-mcp

材料明确标注“无”密钥/环境变量，未见要求 API key、token 或账户凭证；基于现有信息，凭证泄露面较小。

材料标注“无”远程端点，README 也未描述云同步、外部 API 或第三方数据上传；目前未见将用户数据外发到外部服务的事实依据。

系统检查项已标记 executes-code，说明该 MCP 工具会在本机运行服务器/代码；这属于工具常规能力，本身不构成高风险，但应按最小权限运行。

功能描述仅称可添加订阅、汇总支出、列出记录，推测会读写本地订阅数据；但文档缺失，未明确数据存储位置、文件范围或是否仅限自身数据目录，因此需留意实际访问边界。

正面因素包括官方 Registry 来源、开源仓库可审计且近一年内有更新；但 README 缺失、许可证未声明、社区采用度很低（0 star），因此供应链信心尚可但不充分，建议先审源码与依赖。