Supabase

材料明确写明无需额外密钥或环境变量，未见要求提供高敏感凭证；基于现有信息，显性凭证泄露面较小。但若实际运行依赖本地已有 Supabase 登录态或项目权限，仍应避免授予超出需要的访问权限。

文档未声明具体远程端点，但其功能为“管理数据表、查询数据、操作 Supabase 项目”，按功能推断通常需要与对应 Supabase 项目服务通信，查询内容和项目操作指令可能被发送到该服务。材料对外发目标披露不足，建议在使用前核实实际连接域名与数据流向。

系统客观检查项标明其会执行代码，说明该工具需要作为本机进程运行，这是 MCP 工具的常规能力。现有材料未显示其申请异常系统级权限，也未见与声明功能明显无关的执行行为，因此属需留意但无明确高风险红旗。

其声明能力覆盖数据表管理、数据查询和 Supabase 项目操作，意味着可接触项目内数据库内容及相关资源，存在读写生产数据或修改项目配置的可能。未见其需要广泛本地文件访问的说明，但对 Supabase 侧数据面的权限应按最小化原则配置。

来源为平台精选，且提供可审计的开源仓库，并有约 2.7k star 的社区采用度，这些都是明显的降风险因素。许可证未声明、维护状态未知会降低透明度，但在缺少其他红旗的情况下，供应链风险整体仍偏低。