io.github.cyanheads/openfec-mcp-server

需要 FEC_API_KEY，属于可被滥用的凭证；材料未显示额外高敏感系统级凭证需求。MCP_LOG_LEVEL 主要是配置项而非密钥，但日志级别若过高可能增加敏感请求信息暴露面。

会连接声明的远程端点 openfec.caseyjhand.com 以查询 FEC 数据，属于该类工具的常规联网行为。按功能推断，用户查询内容可能被发送至该服务，但材料未显示向无关或未知第三方端点外发数据。

系统检查项显示会执行代码/起进程，这是 MCP 工具的常规运行特性。提供材料未表明其申请超出数据查询用途的高危系统权限，也未见执行任意脚本、提权或持久化等红旗描述。

从材料可确认其需要访问网络与环境变量中的配置/密钥；未见 README 说明具体读写本地文件、数据库或其他资源的范围。由于文档缺失，数据访问边界透明度一般，但目前没有显示明显过度授权。

来源在官方 Registry，且为开源仓库、近一年内有更新，这些都是降低风险的正面证据，源码原则上可审计。虽许可证未声明、社区 star 数低且 README 缺失，说明成熟度与文档性一般，但基于现有事实不足以升为高风险。