io.github.cyanheads/open-meteo-mcp-server

材料列出的环境变量仅有 MCP_LOG_LEVEL 与 CANVAS_PROVIDER_TYPE，均不像账号密钥或访问令牌，未见要求输入第三方 API key、OAuth 凭证或高敏感密钥的证据；凭证滥用面较低。

工具声明会访问远程主机 open-meteo.caseyjhand.com，以实现天气、地理编码、海洋和空气质量等查询；这意味着用户查询内容可能会发送到该端点。当前材料未说明数据最小化、日志保留或隐私策略，因此需留意外发内容范围。

系统检查项表明该 MCP 工具会在本机执行代码/起进程，这是 MCP 服务的常规运行方式。材料未显示其申请与天气查询明显无关的系统级高权限，也未见可疑命令执行说明。

现有材料未明确说明其可读写的本地文件、目录或其他数据资源范围，因此无法确认是否仅处理必要配置。未见要求访问与功能不相称的敏感数据源，但文档缺失导致数据访问边界不够透明。

来源为官方 Registry，且有公开源码仓库、近一年内有更新，这些都是降低风险的正面信号；但 README 缺失、许可证未声明、社区采用度为 0 star，说明可审计性和成熟度一般，仍应在部署前自行复核依赖与实现。