asp.net - 可见的 GUID 是否存在安全风险？

Question

我正在为我的网站使用 ASP.NET 和成员(member)资格提供程序。如果用户能够轻松看到他们的 GUID，这会被视为安全风险吗？我是否应该采取额外的措施来防止用户轻松找到他们的 GUID，例如当他们确认验证过程时。尽管有一些方法可以解决这个问题，例如为“前端”事件使用单独的 GUID，但这是否会不必要地增加开销和开发时间？

可能的欺骗示例是当我验证用户访问资源的权限时。

Guid cUser = (Guid)Membership.GetUser().ProviderUserKey; //if this is publicly viewed, then  there's no reason to call the DB or store in a session as it can be placed in the QueryString
bool grantAccess = CheckGroupPermission(cUser, groupID);

谢谢

Answer 1

将数据库的 key 向外界公开通常不是一个好主意，但如果您必须选择公开哪种字段，那么 GUID 并不是一个糟糕的选择。它比暴露序列号要好得多，在序列号中可以猜测(相当容易)数据库中未知的有效标识符的构成。

您可以提供用户名，而不是向外界提供 GUID。它应该是独一无二的。