应不应该把主键 id 暴露在 url 上？

[felix9ia]

想请教一下大家是怎么做的？

比如访问一个电商网站的店铺页面的 url：

方式 1：使用自增的主键 id xxx/shop/123

方式 2：使用雪花主键 id 或者 guid

xxx/shop/1881238297653633026

xxx/shop/85d93ea0-3d43-48c5-99ec-e11f54655228

方式 3： 使用业务编号

xxx/shop/st_003

方式 4：

用 sqids 把所有的实体主键 id(private_id) 在转换 VO 时加盐转换成 (public_id) 返回给前端

相关讨论： https://www.reddit.com/r/csharp/comments/rg7xob/is_it_bad_to_expose_primary_key_to_the_user_if/

[iyaozhen]

不要自增就行，不然要是有漏洞会被一下子遍历走

而且竞争对手能知道你的业务量了

[TonyDutton]

通过 hashids 装饰自增主键再暴露的方案是否有点自欺欺人？采用这样的方案一般就不会再更改盐值了，盐值对内部开发来说都是可获取的硬编码（），那么总有一天盐值会被暴露到外部

[yuezk]

@dylanqqt #54 京东这个页面是所有人都可以查看的，并不涉及权限验证，用自增问题不大。如果涉及权限验证，你再用自增，就有可能（比如，权限验证有漏洞）被别人猜到 ID ，然后越权访问。但是，如果用 UUID ，即便权限验证有漏洞，也很难被别人利用。这一点，#32 楼已经说的很清楚了

[lyxxxh2]

这只能说看需求...
反正我全是自增,且暴露。
接口都是要登录,不是你的数据你也看不了。

之前加密我用的:
https://github.com/vinkla/laravel-hashids

[tabc2tgacd]

会暴露业务详情的有规律生成的 id 不应该被暴露。比如用户 ID 用了自增的，那可以猜出你有多少用户之类的。

[fengjianche]

用 唯一索引字段值

[Wuuuu]

如果数据库又想自增，展示又怕暴露可以试试 hashids 的库

[liuidetmks]

@dylanqqt 接口配置是错误，自增 id 是放大了这种错误

系统内部状态一般尽量少向外暴露避免被利用，典型的例子就是长度扩展攻击伪造签名