io.github.geraservicesuk/mcp-geraquest

材料显示需要环境变量 GERAQUEST_API_URL。该项更像服务地址配置而非典型 API 密钥，但若其中嵌入凭证、内网地址或测试环境地址，仍可能泄露基础设施信息并被滥用。

工具名称和 API_URL 配置表明其设计上可能与外部 GeraQuest 服务通信，但当前材料未给出明确 host，也未说明传输哪些用户数据。存在常规网络外发可能性，但未见向不明或无关端点外传的具体红旗。

系统检查项明确标记为 executes-code，说明其会在本机以 MCP 工具形式运行进程或执行代码。这属于此类工具的常规能力；材料未显示其申请异常系统权限或执行与声明功能明显无关的操作。

提供的描述与 README 为空，未说明可读写哪些本地文件、用户数据或外部资源，因此数据访问范围不透明。现阶段未见明确过度授权证据，但因文档不足，应假设至少存在工具运行所需的基础数据接触面并谨慎隔离。

来源为官方 Registry，且有公开源码仓库、近一年内更新，属于明显的正面供应链信号。虽然社区 star 很少且许可证未声明，降低了成熟度与合规清晰度，但基于现有事实未见闭源、失维或明显可疑分发迹象。