自动生成的couchdb的id多么不可预测？

Question

我可以依赖于每个生成的id都是随机的假设，并且用户无法猜测吗？因此，在我的申请中，我不需要对所有权进行更多的双重检查。

Answer 1

通常，如果您将实例配置为使用random algorithm，则只会获得随机uuids。查看the source时，您可以看到它然后使用Erlang的crypto:rand_bytes/1。我不确定它的结果有多可预测，但是你应该注意到crypto:strong_rand_bytes/1还有{ - 3}} - 不确定为什么它没有被使用。

我认为这个决定主要取决于其他情况。

• 您想要保护哪些信息？
• 为什么要避免将所有权检查作为额外的安全措施？
• 如何确保_ids不会以某种方式泄露（例如通过CouchDB的/_log API）？

Answer 2

我不会依赖它，不。恶意用户可以进行随机猜测的批次，最终可能会遇到问题。最好让标识符识别事物并确保安全限制。