niua-godot-mcp

材料明确标注无需密钥或环境变量，未见要求提供 API token、账号口令或其他敏感凭证；当前凭证暴露面较低。

已声明无远程端点，描述也聚焦本地 Godot 编辑与运行；基于现有材料未见将用户数据外发到外部服务的事实依据。

系统检查项已标明 executes-code，且描述称可运行、调试、导出真实 Godot 4.6 游戏，说明其会在本机触发进程或执行项目代码/构建流程。这属于该类工具的常规高权限能力，应在隔离环境中使用。

为实现创建、检查、调试和导出游戏，工具通常需要读写 Godot 项目文件、构建产物及相关本地资源。材料未展示更细粒度的路径限制，因此应假定至少对项目工作区具有较广访问权限，但暂无过度授权的明确红旗。

存在开源仓库，源码理论上可审计，这是正面因素；但来源为 third_party_registry、许可证未声明、README 缺失、0 star、维护状态未知，降低了可验证性与成熟度。当前更适合视为需人工复核的低信任开源工具。