ruby-on-rails - 将我的模型 ID 放入我的表单中是否安全？

Question

我记得在某个地方的一些评论中看到有人说，将模型记录的 id 暴露给网页不是很安全。我尝试寻找一些解决方法，但找不到任何关于类似内容的具体文档。

有谁知道这是为什么以及是否应该避免这种情况？还有如何避免？

Answer 1

黑客唯一能用 ID 做的就是在你的数据库中查找它，如果他们能做到这一点，你就已经完蛋了。这就是为什么此类 ID 被称为“虚构”的原因，因为它们与现实中的任何其他内容都不相关，例如社会保险号。

有时你应该，有时你不应该，将 ID 放入 URI - http://example.com/myController/42 .如果这样做，请保护您的页面，以便未经授权的用户无法轻易更改号码并查看他们可以找到哪些记录。但是无论如何您都需要这种安全性，即使您使用“slug”来查找记录也是如此，因为用户可以四处寻找不同的 slug。不使用/42 的主要原因是 URI 是您的可用性信封的一部分，它们应该是有文化和用户友好的。

而且我一直将数据库 ID 放在 HTML ID 中，以使其唯一，例如 <input type="text" name="username" id="username_42" /> .这仍然是安全的。