com.pulsemcp/google-flights

材料明确标注“无”需要的密钥/环境变量，未见要求用户提供 API key、OAuth token 或其他敏感凭证；基于现有材料，凭证暴露与滥用面较小。

虽然材料中“远程端点 host”为无，但该工具声明功能是搜索 Google Flights、日期价格和机场查询，按用途通常需要向外部航班/搜索服务发送请求。文档未明确列出实际连接的端点与传输的数据范围，建议在使用前核实网络目标与请求内容。

系统检查项已标明该工具会执行代码；作为 MCP server，它需要在本机启动并运行服务进程。这属于此类工具的常规能力，当前材料未显示其申请异常系统权限或执行与声明功能无关的高危操作。

现有描述仅涉及航班搜索与机场查询，未声明读写本地文件、数据库、剪贴板或其他敏感资源，也未见过度授权要求。基于材料，数据访问范围看起来较窄。

正面证据包括：来自官方 Registry、开源仓库可审计、近一年内有更新；这些因素明显降低了供应链风险。需留意的是许可证未声明、社区 star 较少，生态验证强度有限，因此更适合定为需留意而非高风险。