io.github.nyuchi/mzizi-mcp

材料显示需要 SUPABASE_URL 与 SUPABASE_PUBLISHABLE_KEY。按命名看更像客户端配置/公开键而非高敏感私钥，但仍属于凭证类配置；若被误配为高权限项目键，可能扩大数据访问面。

已知会连接远程端点 mcp.mzizi.dev，且功能描述本身就是读取远程设计系统注册表，因此用户查询内容或相关上下文可能被发送到该服务。当前未见向无关或不明第三方端点外发的证据。

系统检查项标明该工具会执行代码/起进程；这对 MCP 工具属常见运行方式。现有材料未说明其会申请额外系统级高权限，也未见与“只读注册表访问”明显不相称的执行能力描述。

描述仅提到对设计系统注册表中的 nodes、components、ownership 进行只读访问，未见声明需要写入本地文件或广泛读取本地数据。由于 README 缺失、实现细节有限，实际可访问的数据范围仍需结合源码核实。

来源有较强正面信号：官方 Registry 收录、开源仓库可审计、近一年内有更新。社区 star 数较低且许可证未声明，降低了成熟度与合规清晰度，但基于现有材料未见闭源、失维或明显可疑分发迹象。