io.github.onelogin/onelogin-mcp

需要配置 ONELOGIN_URL、ONELOGIN_CLIENT_ID、ONELOGIN_CLIENT_SECRET，其中客户端密钥属于敏感凭证；若泄露，可能被用于访问或管理 OneLogin 租户中的用户、应用、角色及认证相关资源。

材料未列出固定远程 host，但该工具明确通过 OneLogin API 管理身份资源，意味着会向由 ONELOGIN_URL 指定的 OneLogin 端点发起网络请求并传输相关管理数据。未见将数据外发到无关或不明第三方端点的证据。

系统检查项表明其会执行代码/在本机起 MCP 服务进程，这是此类工具的常规能力。现有材料未显示其申请超出声明功能的系统权限，也未见可疑命令执行或横向控制描述。

按描述其可管理 OneLogin 中的 users、apps、roles 和 authentication，数据访问范围偏管理面，潜在影响面较大，但与声明功能一致。材料未说明会额外读写本地敏感文件，也未见明显过度授权迹象。

来源为官方 Registry，且提供开源仓库，近一年内有更新；这些都是明显的正面供应链信号。虽然社区 star 数较低且许可证未声明，降低了部分透明度与采用度，但基于现有材料仍未见闭源、失维或可疑分发等高风险红旗。