用户 ID 是否应该保密

Question

我读过一些关于散列用户 ID（数据库主键）并保密的内容，但我真的不明白为什么。

我正在创建一个 REST API，您可以使用它从特定用户检索资源。根据登录用户的不同，他/她将收到公共资源，如果获得授权，还将收到私人资源。

做这样的事情是不是不好：

.../resources?user_id=17

谢谢

Answer 1

如果您设置了正确的权限并禁止其他用户滥用该 ID，那么该 ID 是公共的还是私有的都没有关系。

当然，您可以使用单独的 ID 来公开代表用户，并使用私有 ID 来获取权限。