io.github.cyanheads/calculator-mcp-server

材料列出的仅为行为/限制类环境变量（如表达式长度、超时、结果长度、日志级别），未见 API key、账号令牌或其他高敏感凭证要求；凭证滥用面较低。

系统检查项表明其会访问 calculator.caseyjhand.com；结合工具描述，用户输入的数学表达式可能被发送至该声明端点处理。存在常规数据外发，但未见外发到不明或无关域名的证据。

系统标记为 executes-code，且其核心功能包含表达式求值。对 MCP/工具而言，这类本地执行或求值能力属于常规能力；当前材料未显示其申请超出声明功能的系统权限或执行任意无关命令。

现有材料未声明需要读取/写入本地文件、数据库、剪贴板或其他敏感资源，数据范围看起来主要限于输入的数学表达式及计算结果；未见明显过度授权迹象。

来源为官方 Registry，且有公开开源仓库、近一年内有更新，这些都是降低风险的正面证据。虽然 README 很简略、许可证未声明且社区 star 较少，审计透明度略受影响，但不足以单独构成高风险红旗。