io.github.cyanheads/nonprofit-explorer-mcp-server

材料仅列出环境变量 MCP_LOG_LEVEL，这通常是日志级别配置而非敏感凭证；未见 API key、OAuth token 或账户口令要求，当前材料下凭证泄露/滥用风险较低。

工具声明会访问 nonprofit-explorer.caseyjhand.com，且其功能本身依赖远程获取 ProPublica/IRS 相关数据；存在将查询内容发送到声明端点的常规网络外发，但材料未显示额外无关或不明外联目标。

系统检查项显示该 MCP 工具会执行代码/起进程，这是 MCP 服务器的常规运行方式；当前材料未说明其申请超出声明功能的系统权限，也未见可疑命令执行或持久化行为描述。

从材料看其主要处理查询请求与远程返回的非营利组织财务数据；未见明确声明需要广泛读取本地文件、写入敏感目录或访问无关资源，但作为 MCP 进程仍应默认限制宿主侧可见数据范围。

正面因素包括官方 Registry 来源、开源仓库可审计、近一年内有更新；但 README 缺失、许可证未声明、社区采用度很低（0 star），使得可验证上下文与生态背书偏弱，需自行审阅源码与依赖。