io.github.geraservicesuk/mcp-geracash

材料声明需要 GERACASH_API_URL 环境变量；其本身更像服务地址而非传统密钥，但描述中提到写操作采用 OAuth+2FA，说明实际使用时可能涉及账户认证与高敏感金融操作。应避免把 API 地址、账户会话或认证信息混放在可被其他进程读取的环境中。

该工具预期会连接由 GERACASH_API_URL 指定的远程 API；虽然未给出固定 host，但其功能本身需要向钱包/汇款后端发送请求，可能包含收付款、余额、账单或汇率相关数据。当前未见把数据外发到无关或隐蔽端点的证据，但应校验实际配置指向官方服务域名。

系统检查项显示该 MCP 会执行代码/以本机进程运行，这属于此类工具的常规能力。现有材料未说明会申请额外系统权限或执行与声明功能无关的命令，因此应视为常规本地执行风险而非高风险红旗。

材料未声明需要读取/写入本地文件、数据库或广泛系统资源；从描述看，数据范围主要围绕远程钱包与汇款业务对象。就现有信息而言，未见明显过度本地数据访问授权。

来源为官方 Registry，且提供开源仓库，近一年内有更新，这些都是降低风险的正面证据。虽社区 star 数较低且许可证未声明，审计便利性与生态成熟度一般，但目前不足以构成高风险供应链红旗。