io.github.cyanheads/federal-regulations-mcp-server

材料显示需要 REGULATIONS_GOV_API_KEY；这是可用于访问外部法规数据服务的凭证，属于敏感配置，应避免写入公开日志、仓库或共享环境。MCP_LOG_LEVEL 不是凭证，但高日志级别可能增加敏感请求信息暴露面。

系统检查项表明其会访问 federal-regulations.caseyjhand.com。基于描述，其功能依赖远程查询联邦法规数据，因此存在将用户查询内容发送到该声明端点的常规外发行为；材料未显示无关或隐蔽外传端点。

系统已标记 executes-code，说明该 MCP 工具会在本机运行服务进程或相关代码。这是 MCP 工具的常规能力；当前材料未显示其申请与法规检索无关的系统级高权限或危险执行能力。

材料未说明其可读写的具体本地文件范围；作为 MCP 服务，通常至少可访问自身运行环境中的配置与环境变量。当前未见明确的过度数据访问声明，但应默认限制其可见目录、日志内容和环境变量范围。

来源为官方 Registry，且提供开源仓库，近一年内有更新，这些都是明显的正面信号。虽社区 star 较少且许可证未声明，存在一定采用度与合规性不确定性，但基于可审计源码与官方来源，供应链维度可评为低风险。