io.github.devlint/gitwand

材料明确标注无需密钥或环境变量，未见要求提供 API token、账户凭证或其他敏感认证信息，凭证泄露面较小。

未声明任何远程端点或外部服务，现有材料中也未显示会把仓库内容或用户数据发送到网络侧；基于已知信息，数据外发风险较低。

系统客观检查项标记为可执行代码；结合其“自动解决 Git merge conflicts”的功能描述，合理推断会在本机调用 Git 或相关进程并修改工作区。这属于此类工具的常规能力，需留意其对本地仓库状态的影响，但材料未见越权执行红旗。

按声明功能，其正常工作应访问当前本地 Git 仓库中的冲突文件并可能写回解决结果；这是功能所需的数据范围，但 README 缺失，无法进一步确认是否限制在仓库目录内。

来源为官方 Registry，且有可审计的开源仓库，并在近一年内更新，这些都是正面信号；但许可证未声明、README 缺失、社区采用度很低（0 star），可审计信息有限，仍应留意供应链透明度与依赖情况。