暴露Authority、ClientID和Scope至未受保护端点是否安全？

嘿，这个问题问得挺实在的，咱们逐个拆解这些字段的安全性，结合你提到的Authorization Code + PKCE流程来分析：

• ClientID：在OAuth 2.0体系里，ClientID本身就是公开的标识符，尤其是前端这类「公开客户端」，你根本没法把它藏起来——前端代码里本来就会包含这个值，用户甚至能直接通过浏览器开发者工具查到。所以通过未受保护的端点返回它，完全不会带来安全风险。
• Scope：Scope本质是权限范围的声明，前端需要知道哪些权限可以向用户发起请求，而且这些信息本来就是要展示给用户看的（比如授权弹窗里会明确列出要申请的权限），所以暴露出来是正常流程的一部分，没有安全问题。
• Authority：这就是你的身份提供商（IdP）的地址，不管是第三方服务商还是自建的身份服务，这个地址本身就是公开可访问的。前端必须知道这个地址，才能正确发起授权请求，所以暴露它也不会有隐患。

再结合你用到的Authorization Code + PKCE流程来说：这个流程本身就是专门为前端这类无法安全保存敏感凭证的公开客户端设计的，PKCE机制已经能有效防止授权码被拦截滥用，而你提到的这三个字段都不属于敏感信息，所以这个未受保护的端点暴露这些内容是安全的。

唯一需要注意的是：如果这个端点还返回了其他敏感信息（比如Client Secret——不过前端应用本来就不该持有Client Secret），那才是需要警惕的问题，但就目前你列出的三个字段来说，完全没问题。

备注：内容来源于stack exchange，提问作者deha