jquery - 源代码中的 MySQL 行 ID : okay or bad?

Question

有一些 jQuery 插件(jqgrid、DataTables 等)可用于在 html 表格中显示具有高级功能的数据。具有实时编辑能力的那些要么将 mysql 行 id 存储在表本身中(并使其不可编辑)，要么作为源中的行 id 之类的内容。

我还了解到，透露有关数据库设计的任何内容都是一个坏主意。

在源代码或表本身中泄露 mysql 行 id 是一件大事吗？它仅仅取决于数据的敏感性吗？

在 javascript 中有一个哈希表来匹配 html 表行 id 和 mysql 行 id 会更好吗？

Answer 1

如果您依赖数据模型的“obscurity ”来保护您免受类似 SQL Injection 之类的问题的影响，你会非常失望的。另外，如果您没有对用户提供的值(例如要更新的 rowid)进行健全性检查，您的应用程序中将会出现漏洞。这与您在应用程序中用于识别数据的内容无关。主键本身通常不是敏感数据。

简而言之，使用行 ID 来识别通过应用程序来自用户的数据并不是问题，只要您像您需要做的那样对用户输入进行健全性检查。需要注意的是，如果您在 URL 中显示 id，则可能会遇到一些问题，因为用户倾向于在最奇怪的位置为页面添加书签。不过，听起来您并不想这样做。

参见 Should I obscure primary key values?进行相关讨论。