OAuth MCP Server

材料称其支持 Device Code 与 Client Credentials 流程并进行令牌管理；虽未要求预置环境变量或密钥，但运行中可能接触 access token 等敏感凭证，需关注存储、日志与复用控制。当前材料未见明确的凭证滥用说明。

未声明固定远程 host，材料也未列出具体外发目标；但 OAuth 工具通常需要与授权/令牌端点通信以完成认证流程，可能发生面向配置目标的常规网络外联。现有信息不足以判断是否会向无关第三方外发数据。

系统检查项标记为 executes-code，说明该 MCP 工具具备在本机运行服务逻辑的代码执行能力。这属于同类工具的常规能力；当前材料未显示其申请与声明功能明显不相称的系统级权限。

其声明功能包含“安全令牌管理”，因此很可能在运行期读取、缓存或持有认证相关数据；但材料未说明具体文件读写范围、持久化位置或是否访问其他本地资源。未见明确过度授权证据，但数据边界不透明。

有公开 GitHub 仓库，源码原则上可审计，这降低了风险；但来源为 third_party_registry，许可证未声明，社区采用度为 0 star，维护状态未知，README 缺失，整体供应链信号偏弱，需自行审查代码与依赖。