io.github.ndesv21/socialclaw

需要 SOCIALCLAW_API_KEY，属敏感凭证；结合其“发布/追踪社交平台内容”的声明，若泄露可能被用于代表用户调用 SocialClaw 及关联社交账号能力。材料未见异常索权或凭证滥用红旗，但应按高敏感密钥管理。

声明会连接 getsocialclaw.com，且其功能涉及 schedule/publish/track posts，意味着帖子内容、计划信息或分析相关数据可能外发至该服务端。外联目标与声明功能一致，未见无关或不明端点，因此属常规外发留意项。

系统检查项显示该工具会执行代码/起进程，这是 MCP 工具的常规运行方式。现有材料未显示其申请超出社交发布场景的系统权限，也无可疑执行链描述，因此评为需留意而非高风险。

材料仅说明其连接社交平台并通过 hosted MCP 发布/追踪内容，未见声明需要广泛读写本地文件、系统目录或其他超范围资源访问。基于现有事实，未发现过度数据访问迹象。

来源在官方 Registry，且有可审计开源仓库并在近一年内更新，这是明显的降风险因素。但 README 缺失、许可证未声明、社区采用度很低（0 star），使得可审计深度与外部验证有限，供应链信心仍应保守评估。