security - API设计和安全性:为什么要隐藏内部ID？

Question

我听说有人说您绝对不应向外部公开您的内部ID（例如，auto_increment'ng主键）。

有些人建议您使用某种uuid列来代替查找。

我真的想知道为什么会建议这样做，以及它是否真的很重要。

实际上，使用uuid只是混淆了id。重点是什么？我唯一能想到的是auto_incrementing整数显然指出了我的db对象的顺序。外部用户是否知道一个事物是在另一个事物之前/之后创建的，这有关系吗？

还是纯粹混淆ID可以防止在对特定对象的不同操作中“猜测”？

在设计面向外部的API时，这甚至是我应该考虑的问题吗？

Answer 1

很好的答案，我还会添加一个您不想公开内部自动递增ID的原因。
作为一家有竞争力的公司，我可以轻松地衡量您每周/每天/每小时获得多少新用户/订单/等。我只需要创建一个用户和/或订单，并从上次获取的内容中减去新的ID。
因此，不仅出于安全原因，还出于商业原因。