html无法标注密钥权限范围，真正起作用的是oauth 2.0的scope参数，权限控制须依赖后端校验、token解析与csp等多环节协同，前端声明无效且不安全。
HTML里根本不能标注密钥权限范围
HTML 是纯静态标记语言，不参与权限控制、不执行认证逻辑、也不向后端传递“我要什么权限”的声明。所谓“仅读取用户信息”这类权限描述，从来不是写在 或 <meta> 里的。
真正起作用的是 OAuth 2.0 的 scope 参数
如果你在集成第三方登录（比如 GitHub、Google），权限范围由请求授权时的 scope 查询参数决定，和 HTML 文件本身无关。常见错误是把 scope 写在前端跳转链接里却没校验后端是否真按这个 scope 发放 token。
-
scope=user:email（GitHub）只返回邮箱，不返回用户名或头像 -
scope=profile email（Google）对应 OpenID Connect 的标准字段，但实际返回哪些字段还取决于用户授权时勾选了什么 - 前端拼错
scope值（如写成user_read而非user:read）会导致授权失败或降级为最小权限
“仅读取用户信息”必须在后端验证并限制使用
前端传来的 token 可能被篡改或复用，真正的权限边界只能靠后端校验：scope 是否包含所需项、token 是否属于当前用户、API 接口是否匹配该 scope 的语义。
- 不要在前端用
if (scope.includes('user:email'))就直接展示敏感字段——这毫无安全意义 - 后端解析 token 后，应拒绝
GET /api/user/phone这类接口，除非scope明确包含user:phone - 某些平台（如微信开放平台）会把 scope 映射成固定字符串（如
snsapi_userinfo），且不支持细粒度拆分，这时“仅读取”是平台级约定，不是你能自由定义的
HTML 中唯一相关的是 rel="noopener" 和 CSP 防泄漏
虽然 HTML 不管权限声明，但它能防止密钥意外泄露。比如用户点击第三方登录按钮后跳转，若没加 rel="noopener"，目标页可通过 window.opener 访问来源页上下文；又或者没配好 CSP，导致 token 被恶意脚本窃取。
- 外链按钮必须带
rel="noopener"，例如：<a href="https://github.com/login/oauth/authorize?..." rel="noopener"></a> - CSP 应禁用内联脚本：
Content-Security-Policy: script-src 'self'，否则攻击者注入的 JS 可能读取 localStorage 里的 token - 别把密钥写进 HTML 注释或
<meta name="api-key" content="...">—— 这等于公开广播
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
