io.github.IDNSIDNS/tenderapi-mcp

材料显示需要 TENDERAPI_KEY 与 TENDERAPI_BASE_URL。前者属于敏感凭证，若泄露可能导致第三方代用 API 或消耗配额；未见其申请超出声明功能范围的额外凭证。

该工具声明通过 TenderAPI 访问法国 BOAMP 与欧盟 TED 采购数据，说明存在网络外发；但远程 host 未固定列出，且基础地址由 TENDERAPI_BASE_URL 配置，实际数据将发送到哪个端点需由部署者自行确认。

系统检查项已标明该 MCP 工具会执行代码/起本地进程；这是此类工具的常规能力。现有材料未显示其申请异常系统权限或执行与招投标数据查询无关的高危操作。

现有描述仅表明其用于查询公共采购数据，未见 README 或安装说明声明需要读写本地文件、访问用户私有目录或接触超出业务所需的数据范围；基于材料，未发现明显过度数据访问迹象。

正面因素包括：官方 Registry 来源、开源仓库可审计、近一年内有更新。需留意之处是社区采用度很低（0 star）、许可证未声明、README 缺失，导致可审计上下文与使用成熟度有限，但不足以单独构成高风险红旗。