x-mcp-server

材料明确写明无需密钥或环境变量，未见要求提供账号凭证、API token 或其他敏感认证信息，因此凭证泄露面较小。

虽然“远程端点 host”标注为无，但其功能是读取 X/Twitter 公开内容，按描述必然会发生对外网络访问，且通过“stealth browser”实现；材料未清楚列出实际连接的域名、是否经过中间服务或会传出哪些查询内容，需留意数据外发边界不清。

系统检查项已确认该工具具备代码执行能力；结合“stealth browser”描述，推测会在本机启动浏览器或相关自动化进程。这属于此类工具的常规能力，目前材料未显示超出声明用途的系统权限请求。

材料未说明会读写哪些本地文件、缓存或浏览器数据目录；浏览器自动化通常可能涉及临时文件、cookie 或页面内容处理。现有信息不足以证明存在过度授权，但数据访问范围披露不充分。

正面因素是其为开源仓库且采用 MIT 许可，可进行源码审计；但来源为第三方注册表，GitHub 社区采用度为 0 star，维护状态未知，README 也缺失，导致可审计性虽存在但可信度与成熟度有限。