io.github.matthewdtowles/iwantmymtg-mcp

需要 IWMM_API_KEY，属于可用于访问第三方账户/服务能力的敏感凭证；材料未显示额外的凭证保护机制，若泄露可能导致接口被冒用或账户相关数据被访问。

虽未提供明确远程 host，但该工具声明要查询卡牌/价格并管理在线收藏，同时需要 API key，说明很可能会将查询内容或收藏相关数据发送至其对应服务；当前材料对实际端点与传输范围披露不足。

系统检查项表明其具备执行代码能力，意味着会在本机以 MCP 工具形式运行进程。就 MCP 工具而言这属常规能力，但材料未说明是否进一步调用 shell、子进程或其他系统接口，宜限制运行环境。

现有材料未声明需要读写广泛本地文件、系统目录或其他高权限资源；其描述主要围绕卡牌查询与收藏管理，暂未见超出声明功能的数据访问红旗。

来源于官方 Registry，且有公开 GitHub 仓库、开源可审计，并在近一年内有更新，这些都是明显的降风险因素。虽未声明许可证且社区 star 很少，但基于现有材料未见供应链层面的具体高风险迹象。