mongodb - Mongo 对象 ID : Safe to use in the wild?

Question

我正在设计一个与 MongoDB 交互的 API。

现在的问题是，使用原始 ObjectID 来查询对象等是否安全。直接使用 OID 时(例如在查询中)是否会出现任何安全问题，或者我应该加密/在它们离开我的服务器环境之前解密它们？

Answer 1

查看 BSON 对象 ID 规范 here您就会知道使用它是否安全。

如果您试图防止用户从脚本(fuskators)发送不同的 URL，那么在我看来它的安全性很弱。不会有太多的“machine”、“pid”部分组合。如果攻击者可以知道数据是如何插入的(特别是使用批处理时)，则可以计算“时间”部分。 'inc' - 非常弱。

我不会相信 ObjectID 作为唯一的安全措施。

请注意，一般来说，“安全吗”这个问题不可能有正确答案。你必须自己决定。

PS。但请记住，当用户共享他们访问过的 URL 时，这种基于 URL 的安全性就会消失。即使你的加密再好也无济于事。