stateless-mcp-starter

材料明确写明无需密钥或环境变量，未见要求提供 API token、账号凭证或其他敏感认证信息，凭证泄露面较小。

未声明任何远程端点 host，材料中也未描述向外部服务发送用户数据或遥测；基于现有信息，未见明确的数据外发路径。

系统检查项标明其具备 executes-code 能力；作为 MCP 服务端脚手架，默认涉及在本机运行服务/代码。这属于同类工具的常规能力，需在受限环境中运行，但材料未见额外可疑提权或越权执行迹象。

描述提到支持多种 state store adapter，并包含购物车状态示例，说明其可能处理和存储应用状态数据。材料未说明具体读写范围或需要的文件/资源权限，因此应留意默认数据落盘位置和访问边界，但暂未见过度授权红旗。

有公开 GitHub 仓库且为 MIT 开源，可审计性较好，这是明显的降风险因素；但来源为第三方 registry、社区采用仅 0 star、维护状态未知，信任度与成熟度证据偏弱，建议先审阅源码与依赖后再投入生产。