io.github.CSOAI-ORG/care-home-cqc-mcp

材料明确标注“无”所需密钥/环境变量，未见要求 API key、OAuth token 或其他敏感凭证；从现有信息看，凭证泄露或滥用面较低。

材料明确标注“无”远程端点 host，且描述中未声明需要联网调用外部服务；基于现有事实，未见将用户数据外发到第三方端点的迹象。

系统检查项已明确该工具具备 executes-code 属性，说明其作为 MCP 工具会在本机运行代码/进程。这属于此类工具的常规能力，但 README 缺失，具体会调用哪些系统能力和边界不够透明，建议按最小权限运行。

材料未说明其具体读写哪些本地文件、目录或资源；虽然未见明确过度授权要求，但由于它具备本机执行能力且文档缺失，实际数据访问范围目前不可充分确认，需留意运行时授予的目录/资源权限。

正面证据包括官方 Registry 来源、开源仓库可审计、近一年内有更新；这些因素明显降低了供应链风险。需留意的是仓库未声明许可证、社区采用度很低（0 star），且 README 缺失导致可审计上下文不足，因此更适合评为需留意而非高风险。