通过云函数返回openid到小程序端，作为用户的标识，这样做安全吗？是否有其他方法呢？

想多了。肯定不安全，但是你不用openid，你换任何一种id都是同级别的不安全。

所以还是直接用吧。换id是不好使的，只能是在其他方案解决安全，做到：就算告诉小黑是用的openid，你还是黑不了我。

最好自己后端再生成一个uuid作为用户唯一ID，然后跟openid绑定，直接用openid确实有危险，因为唯一ID基本上是公开的，比如点击用户主页什么的都会明文。