学校公布学生身份证号属于行政违法行为，但具体需结合公布主体、目的及方式等因素综合判断。以下从不同角度详细分析：

1. 法律定性：侵犯公民个人信息权

根据《中华人民共和国民法典》第1034条，自然人的个人信息受法律保护，身份证号码属于敏感个人信息。学校若未经学生或监护人同意，擅自公开其身份证号，可能构成对个人信息权的侵犯。
例外情形：若学校因教学管理需要（如公示奖学金名单），且已采取匿名化处理（如隐藏部分数字）或仅在内部有限范围内公开，可能不构成违法。但需注意，即使内部公开，若信息被泄露或滥用，学校仍可能承担责任。

2. 行政责任：违反《个人信息保护法》

根据《中华人民共和国个人信息保护法》第10条，任何组织、个人不得非法收集、使用、加工、传输他人个人信息。学校作为教育机构，若公开学生身份证号的行为被认定为“非法处理个人信息”，可能面临以下后果：

• 行政处罚：由履行个人信息保护职责的部门（如教育行政部门）责令改正，给予警告，没收违法所得，对直接负责的主管人员和其他直接责任人员处以罚款；
  
• 信用惩戒：若情节严重，可能被列入“严重违法失信名单”，影响学校声誉及后续资质申请。

3. 民事责任：赔偿损失

若学生因身份证号泄露遭受损失（如被冒名贷款、诈骗等），可依据《民法典》第179条要求学校承担侵权责任，包括赔偿实际损失、精神损害抚慰金等。
举证要点：学生需证明学校存在过错（如未尽到合理保密义务）、损害结果（如经济损失）及因果关系（如因身份证号泄露导致损失）。

4. 刑事责任：极端情形下的“侵犯公民个人信息罪”

若学校工作人员将学生身份证号出售或提供给他人，且数量达到《刑法》第253条之一规定的标准（如“情节严重”指出售或提供行踪轨迹信息被用于犯罪、知道或应当知道他人利用公民个人信息实施犯罪仍向其提供等），可能构成刑事犯罪，需承担刑事责任。

5. 实务建议

• 对学校：
  
  • 严格限制身份证号的使用范围，仅在必要场景（如考试、学籍管理）中收集，并采取加密存储、访问控制等措施；
    
  • 公开信息前需获得学生或监护人书面同意，或通过匿名化处理降低风险；
    
  • 定期开展数据安全培训，避免工作人员因疏忽导致信息泄露。
    
• 对学生/家长：
  
  • 若发现学校违规公开身份证号，可先向学校提出书面异议，要求停止侵害、删除信息；
    
  • 若学校拒不改正，可向当地教育行政部门投诉或直接向法院起诉，主张权利。

总结：学校公布学生身份证号的行为是否违法，需结合具体场景判断。但无论如何，保护公民个人信息是法律底线，学校应谨慎处理学生敏感信息，避免因小失大。如有进一步疑问，可直接向我咨询。