MCP Gateway Scan

材料明确标注无需密钥或环境变量，未见要求提供 API token、账户凭证或其他敏感认证信息，因此凭证泄露或滥用面较低。

未声明任何远程端点，描述也仅表明对仓库进行只读扫描；基于现有材料，未见会将用户数据外发到第三方服务的事实依据。

系统检查项标记为 executes-code，说明其具备在本机运行代码/进程的能力；这属于 MCP 工具常见能力，当前材料未显示超出声明用途的系统权限申请，但仍应在受控环境中运行。

描述称为只读扫描器，推断其至少需要读取仓库内容以完成评分；现有材料未显示写入、本地持久化或访问与仓库无关数据的证据，未见明显过度授权，但仓库读取本身仍需用户留意扫描范围。

来源为官方 Registry，且提供开源仓库并在近一年内有更新，这些都是降低风险的正面证据。虽然 star 数较低且许可证未声明，增加了一定采用与合规不确定性，但基于可审计源码和官方来源，尚不足以上调为高风险。