security - 在 Web 应用程序 url 中使用表索引有什么问题吗？

Question

我们正在为我们的 Web 应用程序设计 URL 结构，并希望使用 RESTful、有意义的 URL。在我们的系统中，给定帐户的 url 看起来像 app/accounts/62/details，其中 62 是数字自动递增索引中的键。

这种方法有什么问题吗？用户可以登录他们各自的帐户，因此用户无法通过更改帐号来访问其他帐户。但是，公开这样的记录 ID 是否有任何问题，或者有任何理由在哈希中屏蔽它是有意义的？

Answer 1

有许多担忧 - 它们可能不适用......

首先，“信息泄露”可能令人担忧。例如，想知道您有多少客户/订单的竞争对手可能会遍历 URL，直到您向他发送 404。在某些情况下，您可以通过要求用户在您决定是否发送之前登录来避免这种情况。 404; 在其他人中，你不能。

一个更概念化的问题是主键通常对用户没有意义 - 很多网站都有像 app/accounts/homer.simpson/details 这样的 URL，并采用消歧策略允许超过 1 个 Homer Simpson（Facebook、LinkedIn、Twitter 都这样做） ）。