node.js - 暴露用户唯一的 MongoDB _id 是否存在安全风险？

Question

在我的网络应用程序中，我将用户数据存储在 MongoDB 文档中。这些具有独特的_id特性。为了检索与用户创建的项目关联的上传内容，我创建了以下 API:

/api/uploads/:user_id/:item_id/:fileName

在后端，我只需将文件返回到位置/uploads/<user_id>/<item_id>/<fileName>

虽然项目记录本身将具有唯一的 ID，但此文件夹结构将使删除与一个用户关联的所有项目变得更加清晰，因为我可以简单地删除名为 <user_id> 的整个文件夹。 。

但是，通过这种方式设置，我清楚地将用户的唯一 _id 暴露给所有访问其公共(public)上传内容的人。

现在我的问题是，这是否会造成安全风险？恶意黑客可以利用用户的唯一 ID 做什么？

Answer 1

我认为这不是一个重大风险。从概念上讲，您提供的任何信息都可能被黑客用于恶意目的。 _id 没有什么特别之处，使它比您可能放在那里的其他任何东西都更具风险。

无论您在 URL 中输入什么内容，您都需要确保实现适当的访问控制并确保可用性等。