openid可以直接暴露到业务层面请求接口吗

后端同事希望省去登录时加解密的过程，直接传递openid并且用openid直接请求各种业务接口。作为前端，我查了很多地方又没办法告诉他这个为什么不安全。

想请问一下官方团队，

这样做是否安全，

为什么。