couchdb的自動生成ID有多不可預測？

Question

我可以依靠每個生成的ID是隨機的假設，並且用戶無法猜測嗎？所以我不需要在我的應用程序上進行更多的所有權雙重檢查，也不需要做更多的檢查。

Answer 1

通常，如果您將實例配置爲使用random algorithm，則只會獲得隨機uuids。當看到the source時，您可以看到它使用Erlang的crypto:rand_bytes/1。我不確定它的結果有多可預測，但你應該注意到，也會有crypto:strong_rand_bytes/1 - 不確定它爲什麼沒有被使用。

我認爲這個決定主要取決於其他情況。

• 你試圖保護哪些信息？
• 爲什麼你想避免所有權檢查作爲額外的安全措施？
• 你如何確保_ids不被泄露（例如，通過CouchDB的/_log API）？

Answer 2

我不會依賴那個，不。惡意用戶可能會做出任意猜測的lot，並最終可能觸及某事。最好讓標識符識別事物和安全限制來保護它們。