io.github.cyanheads/openfoodfacts-mcp-server

材料列出 OFF_BASE_URL、OFF_RATE_LIMIT_PRODUCT、OFF_RATE_LIMIT_SEARCH、MCP_LOG_LEVEL，这些更像配置项而非高敏感凭证；未见要求 API token、账号密码或 OAuth 密钥。凭证滥用红旗不足，但仍应避免将环境变量和日志配置暴露给不必要的进程。

工具会连接远程端点 openfoodfacts.caseyjhand.com，按其声明用途应发送条码、搜索词或比较请求到该服务。存在正常的数据外发，但目前材料仅显示单一已声明端点，未见向不明或无关域名外传的具体红旗。

系统检查项表明其会在本机执行代码/起进程，这是 MCP 工具的常规能力。提供材料未说明其需要提权、执行任意 shell 命令或访问与食品查询无关的系统能力，因此不足以上升为高风险。

现有材料未声明需要读写本地文件、数据库、剪贴板、浏览器会话或其他敏感资源；描述仅涉及条码查询、营养搜索和产品比较。基于已知信息，未见过度数据访问范围。

来源为官方 Registry，且有可审计的开源仓库，并在近一年内有更新，这些都是明显的降风险因素。虽然社区星标较低且许可证未声明，增加了少量不确定性，但不足以构成供应链高风险红旗。