repoctx

材料明确写明“需要的密钥/环境变量：无”，未见要求 API key、OAuth token 或其他敏感凭证；从现有信息看，凭证泄露与滥用面较低。

未声明任何远程端点，描述也强调“Local-first”；基于现有材料，未见明确的用户数据外发路径或向第三方服务传输代码/内容的说明。

系统检查项已标注 executes-code，说明该 MCP 具备本机执行代码或启动进程的能力；这属于此类工具的常规能力，当前材料未显示超出声明用途的高权限或可疑执行行为。

其功能描述为代码上下文、影响分析和合并就绪判断，合理推断需要读取本地代码仓库内容；现有材料未说明会写入哪些文件或访问仓库外数据，因此应按本地代码数据访问能力审慎看待。

正面因素包括官方 Registry 来源、开源仓库可审计、近一年内有更新；但 README 缺失、许可证未声明、社区采用度很低（0 star），使可审计上下文与成熟度信号偏弱，供应链上宜保持留意但不足以定为高风险。