io.github.cyanheads/faa-aircraft-registry-mcp-server

材料列出 FAA_REDACT_OWNER_PII、FAA_MIRROR_PATH、FAA_DATABASE_URL、MCP_LOG_LEVEL 等环境变量；其中更像配置项而非典型 API 密钥，但 FAA_DATABASE_URL 可能包含数据库连接敏感信息。描述称“keyless”，与存在数据库配置项并不完全一致，建议按敏感配置管理。

系统检查显示会连接 faa-aircraft-registry.caseyjhand.com；这与“offline”描述存在一定不一致，但当前仅见单一已声明端点，未见外发到明显无关或不明第三方的证据。需在实际使用中确认查询数据是否发送至该主机，以及是否可纯本地运行。

作为 MCP 工具，系统已判定其具备执行代码/起进程能力；这属于此类工具的常规能力。材料未显示其申请异常系统权限，也未见命令执行范围超出登记查询场景的具体红旗。

环境变量显示其可能访问本地镜像路径（FAA_MIRROR_PATH）和数据库（FAA_DATABASE_URL），与航空器登记查询功能基本相关。材料未说明会读取广泛无关文件或申请系统级数据权限，但应限制其仅访问必要目录、数据库和日志配置。

来源为官方 Registry，上游仓库开源且近一年内有更新，具备较好的可审计性与基本维护信号。虽然社区采用度较低且许可证未声明，需要留意后续审计与合规问题，但基于现有材料未见供应链高风险红旗。