@cliqo/mcp

材料明确写明“无”需要的密钥/环境变量；从已提供信息看未要求用户提供 API key 或 token，凭证暴露面较低。但若实际运行依赖隐含登录态或服务端鉴权，仍应在安装前复核实现。

描述表明其功能依赖 cliqo.link 进行短链创建、查看、吊销和额度查询，这意味着通常会向该外部服务发送请求。尽管“远程端点 host”标为无，但材料本身暗示存在与 cliqo.link 的网络交互，用户输入的链接及相关元数据可能被传出。

系统检查项标明该工具具备 executes-code 能力，说明会在本机环境运行代码或进程。仅凭这一常规 MCP 能力不足以判为高风险，但应将其限制在最小权限环境中运行，并核查实际可调用的系统能力。

现有材料未声明需要读写本地文件、数据库或其他敏感资源，功能描述也主要围绕远程短链管理。基于可见信息，未见明显的本地数据过度访问迹象，但仍建议结合源码确认是否存在日志、缓存或配置文件写入。

该项目为开源且采用 MIT 许可证，源码可审计，这是明显的降风险因素；但来源为第三方注册表、社区采用度为 0 star、维护状态未知，信任基础相对一般。当前更适合在审阅源码与依赖后试用，而非直接高信任接入生产环境。