BuyWhere MCP

需要配置 BUYWHERE_API_KEY 与 BUYWHERE_API_URL。API Key 属于敏感凭证，如泄露可能被用于冒用该工具访问其后端服务；材料未说明密钥作用域、最小权限或轮换机制。

工具功能依赖远程查询，且通过 BUYWHERE_API_URL 指向外部服务；虽然系统未列出固定 host，但这意味着用户查询数据会发送到所配置的 API 端点。材料未明确列出具体域名、数据出站范围或日志保留策略。

系统标记为 executes-code，说明其会作为本机 MCP 进程运行并执行代码。这属于此类工具的常规能力；当前材料未显示其申请超出商品搜索/比价声明范围的系统级权限。

现有材料仅描述商品搜索、比价与购物相关功能，未声明需要读取本地文件、写入磁盘或访问与业务无关的本地资源。基于已提供信息，暂未见过度数据访问迹象。

来源为官方 Registry，且有开源仓库可审计，近一年内有更新，这些都是积极信号。需留意 README 缺失、许可证未声明且社区 star 较少，透明度与生态成熟度一般，但不足以单独构成高风险。