io.github.cyanheads/faostat-mcp-server

材料列出多个环境变量：FAOSTAT_DOMAINS、FAOSTAT_MIRROR_PATH、FAOSTAT_BULK_BASE_URL、CANVAS_PROVIDER_TYPE、MCP_LOG_LEVEL；从名称看更像配置项而非典型高敏感 API 密钥，但仍可能暴露本地路径、数据源配置或运行模式，需按配置秘密妥善管理。

已知会连接 faostat.caseyjhand.com，且描述提到可通过本地镜像访问 FAOSTAT 数据，说明存在对声明端点的网络通信。材料未说明会外发哪些具体用户输入或遥测数据，也未见与功能无关的不明第三方端点。

系统检查项明确标记为 executes-code，表示该工具会在本机运行代码/进程；这属于 MCP 工具的常规能力。现有材料未显示其申请与统计数据访问明显无关的高危系统权限，也未见可疑执行链描述。

描述中明确提到“local SQLite mirror”，且环境变量包含 FAOSTAT_MIRROR_PATH，说明至少需要访问本地镜像文件/路径中的数据。基于材料看，其数据访问与声明功能一致，但 README 缺失，未细化读写范围、缓存位置或是否会修改本地镜像。

来源在官方 Registry，且有公开源码仓库、近一年内有更新，具备可审计性和一定维护信号；这些都是降低风险的正面证据。需注意其许可证未声明、社区 star 很少且文档缺失，透明度一般，但不足以单独升为高风险。