io.github.rudraptpsingh/figbridge

仅声明需要 FIGBRIDGE_PORT，这更像本地监听端口配置而非敏感 API 密钥或访问令牌；从现有材料未见明显凭证泄露或滥用风险。

材料中远程端点为“无”，描述也强调“local bridge”；未见将用户数据发送到外部服务或不明主机的证据。

系统检查项明确标记为 executes-code，说明其会在本机运行代码/进程；这属于 MCP 工具常规能力，应注意以最小权限运行，但材料未显示超出声明用途的系统权限申请。

作为 Figma bridge，描述涉及 HTML、CSS、Tailwind、tokens 与 agent handoff bundles，推测会处理设计相关本地数据；但材料未说明具体读写范围，也未见明显过度授权迹象。

正面因素包括官方 Registry 来源、开源仓库可审计、近一年内有更新；但 README 缺失、许可证未声明、社区采用度很低（0 star），使供应链透明度和成熟度一般，建议安装前查看源码与依赖。