io.github.CSOAI-ORG/care-home-scheduling-mcp

材料明确标注“无”所需密钥/环境变量，未见要求 API key、账号口令或长期令牌；基于现有材料，凭证泄露与滥用面较低。

未声明任何远程端点 host，也未描述会将用户数据发送到外部服务；就现有材料看，未见明确的数据外发路径或第三方接收方。

系统检查项已明确该工具会执行代码；这属于 MCP 工具的常规能力，意味着其在本机运行时具备一定执行权限。由于 README 缺失、具体可调用的系统能力未说明，建议按本地可执行组件对待并限制运行环境。

材料未说明其会读写哪些本地文件、数据库或业务数据；作为本地 MCP 工具，理论上可能接触宿主机可见数据，但当前没有证据表明其申请了与声明用途明显不相称的过度访问。

正面因素包括官方 Registry 来源、开源仓库可审计、近一年内有更新；这些都显著降低了供应链风险。需留意的是文档缺失、许可证未声明且社区采用度较低（0 star），会增加审计与合规不确定性，因此更适合评为需留意而非高风险。