io.github.altmetric/altmetric-mcp

需要 3 个凭证：ALTMETRIC_DETAILS_API_KEY、ALTMETRIC_EXPLORER_API_KEY、ALTMETRIC_EXPLORER_API_SECRET。这些均属于可调用第三方学术关注度/检索接口的敏感凭证，若泄露可能导致配额消耗、账户滥用或关联数据访问，应通过环境变量与密钥管理系统注入，避免写入代码库或日志。

材料未列出具体远程 host，但其功能明确是“Altmetric APIs 的 MCP server”，可合理判断会向 Altmetric 相关服务发起网络请求。现有材料不足以确认具体域名、传输数据类型与最小化策略，因此应在部署侧限制仅访问 Altmetric 官方 API 端点并审计出站流量。

系统检查项表明该工具会执行代码/起本地进程，这是 MCP 工具的常规能力。材料未显示其申请异常系统权限、shell 扩展能力或与声明功能明显无关的执行行为，因此目前更像标准运行时需求，但仍应在隔离环境中运行并限制子进程能力。

提供的描述未说明需要读写哪些本地文件、数据库或其他资源，也未给出 README 以界定数据边界。基于其 API 集成定位，预期主要处理查询参数与接口响应；未见明确过度授权证据，但因文档缺失，应默认限制其可访问文件系统范围并避免接触不必要的敏感数据。

正面证据包括：官方 Registry 来源、开源仓库可审计、近一年内有更新，这些都显著降低供应链风险。需留意之处是 README 缺失、许可证未声明、社区 star 为 0，意味着公开使用与外部审查信号较弱；整体更适合定为需留意而非高风险。