io.github.cyanheads/usaspending-mcp-server

材料中仅声明环境变量 MCP_LOG_LEVEL，这通常是日志级别配置而非敏感凭证；未见要求 API key、OAuth token 或云账号密钥，凭证滥用风险低。

工具会连接远程端点 usaspending.caseyjhand.com，以实现其声明的数据查询功能；网络外发本身属于此类工具常规能力。需注意材料未说明该域名与官方 USAspending.gov 的关系，且 README 缺失，无法从现有材料确认会外发哪些查询内容或遥测数据。

系统检查项表明该 MCP 工具会在本机执行代码/起进程，这是 MCP 的常规运行方式。现有材料未显示其申请异常的系统级权限，也未见与声明功能明显无关的执行能力描述。

从描述看其核心访问对象应是联邦支出与受资助数据；但 README 缺失，未明确本地文件读写范围、缓存位置或是否会记录用户查询。当前没有看到明显过度授权证据，但数据访问边界说明不足。

正面证据包括：官方 Registry 来源、开源仓库可审计、近一年内有更新，这些都显著降低供应链风险。需留意的是许可证未声明、社区采用度很低（0 star），且文档缺失会增加审计难度，因此仍建议在部署前检查源码与依赖清单。