HTML无法标注密钥权限范围，真正起作用的是OAuth 2.0的scope参数，权限控制须依赖后端校验、token解析与CSP等多环节协同，前端声明无效且不安全。

HTML里根本不能标注密钥权限范围

HTML 是纯静态标记语言，不参与权限控制、不执行认证逻辑、也不向后端传递“我要什么权限”的声明。所谓“仅读取用户信息”这类权限描述，从来不是写在 <html> 或 <meta> 里的。

真正起作用的是 OAuth 2.0 的 scope 参数

如果你在集成第三方登录（比如 GitHub、Google），权限范围由请求授权时的 scope 查询参数决定，和 HTML 文件本身无关。常见错误是把 scope 写在前端跳转链接里却没校验后端是否真按这个 scope 发放 token。

• scope=user:email（GitHub）只返回邮箱，不返回用户名或头像
• scope=profile email（Google）对应 OpenID Connect 的标准字段，但实际返回哪些字段还取决于用户授权时勾选了什么
• 前端拼错 scope 值（如写成 user_read 而非 user:read）会导致授权失败或降级为最小权限

“仅读取用户信息”必须在后端验证并限制使用

前端传来的 token 可能被篡改或复用，真正的权限边界只能靠后端校验：scope 是否包含所需项、token 是否属于当前用户、API 接口是否匹配该 scope 的语义。

Article To Html

文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。

下载

• 不要在前端用 if (scope.includes('user:email')) 就直接展示敏感字段——这毫无安全意义
• 后端解析 token 后，应拒绝 GET /api/user/phone 这类接口，除非 scope 明确包含 user:phone
• 某些平台（如微信开放平台）会把 scope 映射成固定字符串（如 snsapi_userinfo），且不支持细粒度拆分，这时“仅读取”是平台级约定，不是你能自由定义的

HTML 中唯一相关的是 rel="noopener" 和 CSP 防泄漏

虽然 HTML 不管权限声明，但它能防止密钥意外泄露。比如用户点击第三方登录按钮后跳转，若没加 rel="noopener"，目标页可通过 window.opener 访问来源页上下文；又或者没配好 CSP，导致 token 被恶意脚本窃取。

立即学习“前端免费学习笔记（深入）”；

• 外链按钮必须带 rel="noopener"，例如：<a href="https://github.com/login/oauth/authorize?..." rel="noopener">
• CSP 应禁用内联脚本：Content-Security-Policy: script-src 'self'，否则攻击者注入的 JS 可能读取 localStorage 里的 token
• 别把密钥写进 HTML 注释或 <meta name="api-key" content="..."> —— 这等于公开广播

权限范围不是标签属性，也不是前端一句话的事。它横跨 OAuth 流程、后端校验、token 存储方式、CSP 策略多个环节，漏掉任何一环，“仅读取”就只是个幻觉。