隱藏條目ID以提高Web應用程序的安全性？

Question

在這裏symfony's tutorial，它說：

隱藏所有ID

symfony的另一個很好的做法 行動是避免儘可能 可能通過主鍵那樣 請求參數。這是因爲我們的主鍵 主要是 自動增量，並且這給黑客提供了太多關於數據庫記錄的 的信息。

這是爲什麼呢？它是否適用於所有網絡應用程序？

Answer 1

暴露密鑰是潛在的內部直接對象引用風險。實際上，這就是說，如果按鍵符合可預測的模式，那麼它們可能在攻擊中被用來對付你。當然，其他的安全層應該防止他（特別是適當的授權），但它是一個更小的安全層。這個概念與暴露內部密鑰的所有應用程序相關。

有關更多信息，請參見OWASP Top 10 for .NET developers part 4: Insecure direct object reference。