io.github.CSOAI-ORG/supply-chain-mcp

材料明确标注无需密钥或环境变量，未见要求提供 API token、账号密码或其他敏感凭证，因此凭证泄露与滥用面较低。

虽未声明远程端点，但其功能描述包含 shipment tracking，此类能力通常可能涉及对承运商或物流服务查询；当前材料未列出具体目标主机，网络外发范围不透明，需留意实际运行时的出站连接。

系统客观检查项标记为 executes-code，说明该 MCP 工具具备在本机执行代码或启动相关进程的能力；这是此类工具的常见性质，本身不足以判为高风险，但应在受限环境中运行。

材料未说明可读写的本地文件、数据库或其他资源范围；结合其 MCP 工具属性与代码执行能力，理论上可能接触本机数据，但暂无证据显示申请了超出声明功能的过度数据权限。

来源为官方 Registry，且有可审计的开源仓库并在近一年内更新，这些都是明显的降风险因素。虽社区采用度较低且许可证未声明，增加了一定尽调需求，但基于现有事实未见闭源、失维或可疑分发红旗。