c# - 用户ID混淆

Question

I expect this's been asked before but haven't really found an appropriate answer here and also don't have the time to come up with my own solution...

如果我们有一个带有 int identity 主键的用户表，那么我们的用户在网站上注册时就会有连续的 ID。

我们在站点 URL 上有用户公开个人资料页面:

www.somesite.com/user/1234

其中 1234 是实际的用户 ID。查看用户 ID 本身 没有任何漏洞，但它确实让任何人都能够检查在我的网站上注册了多少用户...手动增加数量最终会使我的配置文件无效。

这就是为什么我想要一个可逆的 ID 映射到一个看似随机的长度固定的数字的主要原因:

www.somesite.com/user/6123978458176573

你能给我指出一个执行此映射的简单类吗？当然重要的是这个映射是简单可逆的，否则我必须将映射与其他用户的数据一起保存。

我想避免 GUID

GUID 的索引搜索速度较慢，因为它们不是连续的，因此 SQL 必须扫描整个索引以匹配特定的 GUID，而不是仅匹配特定的计算索引页...

如果我有 ID + GUID，那么我总是需要获取原始用户 ID 来进行任何有意义的数据操作，这又会降低速度...

数学上的可逆整数排列似乎是最快的解决方案...

Answer 1

我会 100% 选择“向表中添加一个 GUID 列”方法。为每个当前用户生成一个，并更新您的插入过程为每个新用户生成一个，这将花费几秒钟的时间。这是最好的解决方案。

但是，如果您真的不想采用这种方法，您可以使用任意数量的混淆技术。

简单地对数字的字符串表示形式进行 Base64 编码是一种(不好的)方法。

    static public string EncodeTo64(string toEncode)
    {

      byte[] toEncodeAsBytes
            = System.Text.ASCIIEncoding.ASCII.GetBytes(toEncode);
      string returnValue
            = System.Convert.ToBase64String(toEncodeAsBytes);
      return returnValue;
    }

    static public string DecodeFrom64(string encodedData)
    {
      byte[] encodedDataAsBytes
          = System.Convert.FromBase64String(encodedData);
      string returnValue =
         System.Text.ASCIIEncoding.ASCII.GetString(encodedDataAsBytes);
      return returnValue;
    }

不好，因为任何具有半盎司技术知识的人(黑客/脚本小子往往拥有丰富的知识)都会立即将结果识别为 Base64 并轻松进行逆向工程。

---

编辑: 这篇博文 Obfuscating IDs in URLs with Rails提供了一个非常可行的例子。转换为 C# 会给你类似的东西:

static int Prime = 1580030173;
static int PrimeInverse = 59260789;

public static int EncodeId(int input)
{
    return (input * Prime) & int.MaxValue;
}

public static int DecodeId(int input)
{
    return (input * PrimeInverse) & int.MaxValue;
}

Input --> Output
1234 --> 1989564746
5678 --> 1372124598
5679 --> 804671123

This follow up post by another author解释了如何使用随机 XOR 来进一步确保这一点，以及如何计算 Prime 和 PrimeInverse - 我只是使用了原始博客中的预装的用于演示。