io.github.cyanheads/openlibrary-mcp-server

材料仅显示需要环境变量 MCP_LOG_LEVEL，这属于日志级别配置而非敏感凭证；未见要求 API key、OAuth token 或其他高敏感密钥，凭证泄露面较低。

工具声明会连接远程端点 openlibrary.caseyjhand.com，以实现书籍/作者搜索与封面解析；这意味着用户查询内容可能被发送到该端点。存在正常的外发行为，但当前材料未显示无关第三方端点或异常外传红旗。

系统检查项表明其作为 MCP 工具会在本机执行代码/进程，这是此类工具的常规运行方式。提供材料未说明需要额外系统级权限、shell 注入能力或与功能无关的执行面。

描述仅涉及搜索图书、作者、版本与主题浏览，未声明需要读写本地文件、访问数据库、剪贴板或其他敏感资源。基于现有材料，未见过度数据访问请求。

来源为官方 Registry，且有可审计的开源仓库，并在近一年内更新；这些都明显降低供应链风险。社区 star 为 0、许可证未声明会略微增加采用与合规不确定性，但不足以单独构成高风险红旗。