关于open-data和getuserinfo的问题

所以我可不可以这么理解。如果只是单纯需要展示用户头像等信息，根本不需要使用getuserinfo请求用户授权，而是可以直接使用open-data展示？

还是说无论如何都必须先请求授权，再必须使用open-data标签展示？

目前使用open-data可以不经授权直接展示，但是会不会有什么隐患？

求大佬们答疑解惑。