io.github.chrischall/setlist-mcp

材料显示需要 SETLIST_API_KEY 与 SETLIST_SESSION_COOKIE；其中 API Key 和会话 Cookie 均属敏感凭证，若泄露可能导致第三方以用户身份调用相关服务。SETLIST_ACCEPT_LANGUAGE 更像配置项而非敏感密钥。

系统未列出明确远程 host，但该工具功能声明为获取 setlist.fm 演出数据，通常意味着会向其相关服务发起网络请求并传出查询内容。当前材料未见发送到无关或不明端点的证据，因此属常规联网能力需留意。

系统明确标记为 executes-code，说明其作为 MCP 工具会在本机运行代码/进程。这属于工具固有能力；现有材料未显示其申请额外高危系统权限或执行与声明功能无关的操作。

提供材料未说明需要读写哪些本地文件或其他资源，已知至少会接触环境变量中的凭证。由于缺少 README 与权限细节，无法确认其本地数据访问边界，但也未见明显过度授权迹象。

来源为官方 Registry，且有公开源码仓库、近一年内有更新，具备较好的可审计性与基本维护迹象。社区 star 数较低、许可证未声明会略增不确定性，但不足以构成高风险供应链红旗。