io.github.cyanheads/openchargemap-mcp-server

需要配置 OPENCHARGEMAP_API_KEY，属于对外部服务的凭证，若泄露可能导致 API 被冒用或配额消耗；其余环境变量更偏配置项而非高敏感凭证。未见材料要求更高权限系统级密钥。

声明会连接 openchargemap.caseyjhand.com，用于获取充电站相关数据，网络外发与其功能描述一致。材料未说明会向无关或不明端点发送数据，也未见额外隐藏外联迹象。

作为 MCP 工具会在本机运行服务进程，具备执行代码的常规能力；现有材料未显示其申请超出声明用途的系统权限，也未披露可执行任意系统命令等具体红旗。

材料仅显示会读取环境变量配置并通过网络查询远程数据；未见 README 说明其需要广泛读写本地文件、访问无关资源或持久化敏感用户数据。由于文档缺失，具体数据访问边界仍需安装前复核源码与默认配置。

正面因素包括来自官方 Registry、开源且近一年内有更新，可一定程度审计并降低风险；但仓库未声明许可证、README 缺失且社区采用度较低（0 star），使供应链透明度与成熟度一般，因此宜保持谨慎而非判为高风险。