io.github.cyanheads/usda-mcp-server

需要 USDA_FDC_API_KEY；该密钥可用于访问 USDA FoodData Central API，属于应受保护的凭证。材料未显示其会收集额外高敏感账号凭证，凭证风险目前主要在本地存储、日志泄露或被误共享。

描述表明其功能是查询 USDA FoodData Central 数据库，因此预计会向其声明用途相关的 USDA 数据服务发起网络请求。系统检查项未列出明确远程 host，材料也未显示会向不相关或不明端点外传数据，因此当前属常规联网能力需留意。

系统已标记 executes-code，说明该 MCP 工具需要在本机运行服务进程/代码。这属于 MCP 工具的常规运行方式；现有材料未显示会请求与其食品查询功能无关的高权限系统能力。

从材料可见的数据访问需求主要是读取环境变量中的 API 密钥并处理用户查询；未见 README 声明会广泛读取/写入本地文件、数据库或其他资源。由于缺少更详细文档，仍应默认按最小权限运行并限制其可接触的数据范围。

来源为官方 Registry，且有公开源码仓库、近一年内有更新，这些都是明显的降风险因素。虽然 GitHub star 较少且许可证未声明，增加了一定采用与合规不确定性，但基于可审计开源与可信分发来源，目前未见足以升为高风险的供应链红旗。