使用Mongodb ObjectID作为文档ID？

Question

我正在尝试使用mongoDB创建一个主板。

我想用ObjectID分配文档ID。

如果用户可以通过http://www.example.com/4easdf123123访问文档页面，其中“4easdf123123”是mongoDB ObjectID。

是否存在任何可能的安全威胁，如果我在URL中使用并显示mongo ObjectID并将其用作文档ID？

有关于使用mongoDB分配文档ID的任何建议吗？

Answer 1

看起来不像MongoDB ObjectID - ObjectID是12字节的二进制数据，当呈现为十六进制字符串（在URL中使用它的常用方法）时，它将是24个字符长。我假设您正在使用official PHP Mongo Driver，在这种情况下，MongoId类的构造函数将忽略无效值并为您生成一个新值。无论如何，最好让驱动程序为您生成ObjectID / MongoId，因为它会以避免冲突的方式生成。

至于在您的网址中使用它的安全性，您应该没问题。当然，您应该使用有关实现代码的常规预防措施，以确保当前用户有权查看正在显示的对象等，但在URL中使用ObjectID的安全风险不会超过任何其他数据库标识符（字符串） ，整数等），并且通常没有，因为ObjectID没有语义值（而URL中的“adminuser”字符串可能表示该URL与具有提升权限的用户相关）。