io.github.YawLabs/mcp-compliance

材料明确标注无需密钥或环境变量，未见要求用户提供 API token、账号口令或其他敏感凭证，因此凭证泄露面较低。

未声明任何远程端点，材料中也未说明会将用户数据发送到外部服务；就现有信息看，未见明确的数据外发路径。

系统检查项明确标注 executes-code，且该工具是 CLI/MCP server，意味着会在本机运行进程并执行其测试逻辑。这属于此类工具的常规能力，需在受控环境中运行。

作为本地 CLI/MCP 工具，通常会接触用户指定的 MCP 服务器配置、测试输入或本地运行环境信息；材料未声明其具体读写边界，因此应默认按最小权限使用，但目前未见超出用途的过度授权红旗。

正面因素是来自官方 Registry 且近一年内有更新；但无开源仓库、无许可证声明、社区采用度低（0 star），导致源码与依赖难以独立审计。综合看属供应链需留意，而非仅凭闭源直接定为高风险。