java - 自增主键不会暴露数据吗?

Question

假如有一个get请求的接口，传的参数是id = 1这样子的，那么不是可以被用户拿到所有的数据了吗

for (let index = 0; index < 1000000; index++) {
  get(index).then(res => {
    if (res != null) {
      console.log(res)
    } else {
      // 该id的数据为空
    }
  })
}

像这种情况怎么处理呀

如果这个情况的话，被别人调用了删除的接口不是很恐怖吗，因为删除接口也是传一个id过去后端就删除了

Answer 1

就是为了防止你说的这种随便传一个id就可以做到数据的删除，才会有各种校验，鉴权，等等一系列操作。

Answer 2

正常来说，自增id最多只能暴漏用户（或者某个事物的数量）的数量级（大约多少）。

后端在做好权限控制的情况下，不符合条件的用户无法通过自增id来获取更多信息或者进行操作。

Answer 3

我1年前去老家一个医院做核酸，做核酸前要输入个人信息
过一天，核酸结果出来了，我输入自己的手机号，短信验证码后，跳到了一个h5页面核酸报告页面
好奇之下我把这个h5链接复制出来
发现链接：https://xxxxxxx/xxx/xxx/20220...
我尝试输入 https://xxxxxxx/xxx/xxx/20220...，显示另一个人的核酸报告（姓名，性别，身份证，家庭住址，手机号，核酸阴性）
这时候我大概明白了 20220201是日期，2852代表这一天你是第几个做核酸的
我大概算了一下，我可以通过这个链接获取最少30万人的个人信息（每天做核酸3000人，就按照半年来算就45万人，实际上可以查到一年前的数据，实际上试验下每天最多的时候有5千人）
我给医院打了电话，说你们的核酸报告存在严重的信息安全问题，接电话的是一个前台说会向上汇报
过了3个月又看了一下发现还存在
过去半年再看发现链接不可访问

只要做好a的数据只有a能查看修改，那么自增id只能确定用户的数量级

Answer 4

你这个问题。就是最常见的 水平越权问题
数据的增删改查权限要控制好。
比如有些数据是需要登陆状态的，那么你请求接口还得带上token。token里面对应的数据得和对应的ID有关联关系。

Answer 5

首先要知道你想干嘛?说说你的需求,权限控制分很多种

我看你是java,可看看这个
https://spring.io/projects/spring-security

后台控制权限,基本就是控制一个请求链接的权限,一般是
用户表 , 角色表 , 权限表 , 用户关联角色表 , 角色关联权限表
请求这个链接前,查下数据看看有么有这个权限就可以了

Answer 6

自增id我认为最大的麻烦，是给爬虫提供了更方便的方式。。。毕竟可以可以直接从1爬到头。。。
所以即使是开放的数据，我也觉得加上接口的token验证和使用uuid比较好。
至于删除的部分，正常都会有删除方面的控制逻辑，但是如果是一个人，获取了admin权限，那么的确自增id会更加方便的让他快速删除。

Answer 7

他能知道前后的id，但他没权限删除啊！

你执行删除操作的时候，肯定得判断下这个用户的权限，至少这个id是属于他本人的，或者有更高权限的管理员，才能进行删除。

Answer 8

最简单的理解方式：
本来有100条数据就是给你看的，你通过id=n可以查看，但是你想删除，就需要你能够登录了，并且确定你有权限才可以。

其实只要改后面的数字就能看到其他问答，这种数据就是给你看的，即使你能找到规律也没关系，但是你能删除其人的问答吗？

Answer 9

1 如果数据是公开查看的

那么本来用户就能看到所有这些数据

2 如果数据是非公开的

那么肯定有权限控制用户可以看哪些数据，不能看的知道ID也看不了

自增ID带来的实际问题是：

即便不能看到数据，但是能推测你的业务相关的数据量多少。