OAuth 1.0中的Consumer Key是否属于敏感信息？

你的理解是正确的，根据OAuth 1.0的RFC规范，Consumer Key本质上是服务提供商给消费者（即你的应用）分配的公开标识符，仅用于身份识别，本身不具备授权权限。

为什么它不算敏感信息？ #

• 它的作用类似用户名，仅用于告诉服务端“我是哪个应用”。没有它，服务端无法匹配对应的Consumer Secret来验证请求，但单独拿到Consumer Key的攻击者，根本无法伪造合法请求——因为OAuth 1.0的请求签名必须结合Consumer Secret和Token Secret这两个敏感密钥才能生成。
• 不少公开的OAuth 1.0集成示例里，甚至会直接展示Consumer Key（比如早期Twitter API的官方示例），这也侧面说明它不需要严格保密。

关于Postman参数分组的说明 #

Postman只是把OAuth 1.0请求所需的所有参数统一罗列出来方便用户填写，并不代表所有参数的敏感等级都一致。你需要严格保密的依然是Token Secret、Access Token、Consumer Secret这三项，它们是生成合法请求签名的核心要素，一旦泄露，攻击者就能冒充你的应用或用户发起恶意请求。

总结：你的判断完全没问题，Consumer Key不需要当作敏感信息严格保管，但也没必要随意公开到非必要场景（毕竟结合其他信息可能存在辅助攻击的潜在风险，但单独无危害）。

内容的提问来源于stack exchange，提问作者David Meléndez