tk_mcp

材料明确标注“无”密钥/环境变量，未见要求提供 API key、账号口令或其他高敏感凭证；从现有信息看，凭证泄露与滥用面较低。

虽未声明远程端点，但其功能描述包含“链接转换、商品推广、商品搜索”等典型平台交互能力，实际运行大概率涉及对外网络请求；当前材料未说明具体目标域名、传输数据类型和边界，网络外发透明度不足。

系统检查项已明确标注 executes-code，说明该工具会在本机侧运行代码/进程；这属于 MCP 工具常规能力，本身不构成高风险，但应视为具备本地执行面并谨慎隔离运行。

材料未说明其可读写的本地文件、缓存、日志或其他资源范围，数据访问边界不清晰。虽未见明确申请超范围权限的描述，但在文档缺失情况下，建议按最小权限原则看待。

正面因素是存在可审计的开源仓库且使用 ISC 许可证；但来源为 third_party_registry，社区采用度为 0 star，维护状态未知，README 缺失，供应链成熟度与持续维护信号偏弱，建议先做代码与依赖审查后再引入。