io.github.ghdejr11-beep/saju-mcp

需要敏感凭证 SAJU_API_KEY。材料未说明该密钥的权限范围、获取方或使用边界，若配置过宽或泄露，可能被用于调用相关外部服务。

材料声明需要 API key，但“远程端点 host”为无，且 README 缺失，无法核实实际连接对象或是否会传出用户输入。这种“需要外部凭证但未披露目标端点”的透明度缺口属于明显红旗。

系统检查项表明该工具会执行代码/起进程。这属于 MCP 工具的常规能力，但材料未进一步说明可调用的系统能力或隔离方式，建议在受限环境中运行。

现有材料未声明本地文件读写、数据库访问或额外系统资源权限，也未见要求广泛数据授权；从已知信息看，未发现明显过度数据访问迹象。

来源于官方 Registry，且开源、近一年有更新，这些都显著降低供应链风险；但仓库未声明许可证、README 缺失、社区采用度很低（0 star），可审计信息仍偏少，因此建议定为需留意。