io.github.PromptPartner/bexio-mcp-server

材料明确写明“需要的密钥/环境变量：无”，未见要求用户提供 API key、token 或其他显式敏感凭证。鉴于其声称集成 Bexio，仍建议在实际安装时复核是否存在未写明的认证方式。

作为“Swiss accounting integration for Bexio”，其功能逻辑上很可能需要与外部会计服务交互，但材料同时写明“远程端点 host：无”，网络目标与数据外发范围披露不足。未见将数据发送到不明无关端点的明确证据，但建议先审查源码中的实际请求地址与上传字段。

系统客观检查项已标记为 executes-code，说明其作为 MCP 工具会在本机运行代码/进程；这属于此类工具的常规能力。现有材料未显示其申请异常系统权限或执行与声明功能明显无关的操作。

描述列出 314 个与 invoices、contacts、projects、account balances 相关的工具，表明其可能接触较敏感的业务/财务数据。材料未说明具体可读写范围、是否支持删除/修改、是否会缓存本地数据，因此应按涉及敏感业务数据的常规留意级处理。

正面因素包括：官方 Registry 来源、开源仓库可审计、近一年内有更新，这些都明显降低供应链风险。需留意的是 README 缺失、许可证未声明、社区星标为 0，导致审计透明度和社区验证信号较弱，但尚不足以单独构成高风险。