io.github.cyanheads/nws-weather-mcp-server

材料列出环境变量 NWS_USER_AGENT 与 MCP_LOG_LEVEL；其中 MCP_LOG_LEVEL 不属于敏感凭证，NWS_USER_AGENT 更像访问标识而非高权限密钥。仍应避免在该字段中放入个人敏感信息，并防止日志输出环境变量内容。

工具声明会访问 nws.caseyjhand.com，且其功能本身需要网络查询天气数据。现有材料未显示向无关或不明第三方端点外发数据，但使用时输入的查询参数与请求元数据可能会发送到该远程主机。

系统检查项表明该 MCP 工具会在本机执行代码/起进程，这是此类工具的常规运行方式。材料未说明其会申请异常系统权限或执行与天气查询无关的高危操作，因此目前不足以上调为高风险。

根据材料，工具至少可读取环境变量配置，并在运行时处理用户查询与返回的天气数据。未见其声明需要广泛文件系统读写、系统管理权限或与功能不相称的数据访问，但 README 缺失使可见性有限。

正面证据包括官方 Registry 来源、开源仓库可审计、近一年内有更新；这些都降低了供应链风险。需留意之处在于仓库未声明许可证、社区采用度较低（0 star），且文档较少，不利于快速核验实现与依赖边界。