assetlinks.json是否会向公众暴露SHA证书指纹及该文件是否可公开访问？

你的理解完全正确。

• .well-known目录是遵循RFC 5785标准定义的公开目录，专门用于存放需要对外公开的验证类文件。当你将assetlinks.json放在网站public目录下的.well-known中时，该文件默认允许公众访问，用户确实可以通过浏览器输入https://domain.name/.well-known/assetlinks.json直接查看文件内容。
• 至于SHA256证书指纹，它本身就是公开可查询的信息，不属于敏感内容。这个指纹的作用是让浏览器、应用商店等服务验证你的应用与域名的关联合法性，它不包含证书的私钥，即使被公开也不会带来安全风险——任何人都可以从你的应用签名证书中提取出这个指纹。

内容的提问来源于stack exchange，提问作者oTwo