io.github.cyanheads/openstreetmap-mcp-server

材料列出的是 OSM_NOMINATIM_BASE_URL、OSM_USER_AGENT、OSM_OVERPASS_BASE_URL、MCP_LOG_LEVEL，这些更像配置项而非常规敏感密钥；但其中 User-Agent 与服务地址配置若被误填为内部或非预期端点，仍可能带来请求归因或流量误导风险。

工具声明会进行地理编码、逆地理编码和 Overpass 查询，客观上会向远程端点 openstreetmap.caseyjhand.com 发送查询内容；这属于该类地图查询工具的常规联网行为，材料中未见无关第三方外发或隐蔽传输的明确证据。

系统检查项表明该工具需要在本机执行代码/起进程，这属于 MCP 工具的固有运行方式；当前材料未显示其申请超出地图查询用途的高权限系统能力，因此以常规留意处理。

从材料看其核心数据访问应限于处理用户提供的地点/坐标/空间查询参数，并通过网络获取 OpenStreetMap 结果；未见明确需要广泛读写本地文件、数据库或系统资源的说明，但运行时仍应限制宿主环境可见范围。

来源为官方 Registry，且提供开源仓库，近一年内有更新，具备一定可审计性与维护信号；虽然社区 star 较少且许可证未声明，需要后续补充核验，但目前不足以构成高风险供应链红旗。