使用自定义userId与Mongo Object_Id

Question

（刚开始编码一年前，我仍然对StackOverflow上有多酷的人感到敬畏:)）

无论如何，在我之前的工作中，我们在后端使用自定义UUID用于userId，而不是自动生成的mongo对象ID。

当时我虽然在通过URL路由公开这些问题时可能会遇到安全问题。然而，我无法弄清楚除了暴露自定义ID之外的安全性如何。黑客可以假设我的数据库？

有人能否就这方面的最佳做法发表一些看法？

谢谢！

Answer 1

ObjectIds与UUID相比没有任何安全性。

它们带有时间戳部分，因此如果您公开对象ID，则客户端可以知道生成此ID的时间。但是：

1. 这假定您使用默认生成方案。一些实现生成完全随机的对象id（因此时间戳值是假的）
2. 我无法想到恶意客户端如何将其用于任何事情。