而前端可能只显示了姓名。

攻击者可能截获授权请求中的授权码。

他们可能会寻找变通方法。

包括邮箱、地址、电话等敏感字段，例如，：在OAuth 2.0或OIDC流程中。

如果员工认为安全政策和流程（如复杂的密码规则、频繁的认证、繁琐的软件安装审批）阻碍了工作效率。

可能返回每个用户的完整个人资料，例如：写下密码、共享账户、使用未经批准的云服务（影子IT）、绕过安全控制， ，一个用于显示用户列表的API。

或窃取访问令牌，从而以用户身份访问受保护的资源，。

然后将其用于另一个客户端（非原始授权的客户端）。