io.github.jztan/pdf-mcp

材料中仅列出 PDF_MCP_CACHE_DIR 与 PDF_MCP_CACHE_TTL，这些看起来是本地缓存目录与缓存时长配置，并非 API 密钥或账号凭证；未见明显凭证泄露或滥用面。

已声明远程端点为无，材料也未描述上传 PDF 或连接第三方服务；基于现有信息，未见将用户数据外发到远端的证据。

系统检查项标明会执行代码/起进程。对 MCP 工具而言这属常规能力，但意味着需要在本机运行服务并处理 PDF，仍应留意其所调用的解析库、子进程及运行权限。

作为 PDF 处理服务，预期会读取用户提供的 PDF，并根据 PDF_MCP_CACHE_DIR 在本地写入缓存；这属于声明功能所需的数据访问，材料中暂未见超出用途的过度授权迹象。

正面因素包括官方 Registry 来源、开源仓库可审计、近一年有更新；但 README 很少、许可证未声明、社区采用度目前较低（0 star），因此供应链透明度中等，建议在部署前补查依赖与发布物一致性。