在DRF框架中暴露条目ID的风险

Question

我正在构建一个API，并开始使用GenericAPIViews。在这个例子中

class InsertActivityChange(UpdateAPIView):
    authentication_classes = []
    permission_classes = []
    serializer_class = ActivitiesSerializer
    lookup_field = 'id'

    def get_queryset(self):
        return Activities.objects.filter(id=self.kwargs['id'])
        
    def put(self, request, *args, **kwargs):
        return self.update(request, *args, **kwargs)

path('insertactivitychange/<int:id>', views.InsertActivityChange.as_view(), name='insertactivitychange'),

我使用了一个泛型类来更新对象。我担心的是，如果允许在URL之后直接输入ID，是否会冒很大风险。显然，我会通过正确配置身份验证和权限类来进一步降低风险，因此条目的ID甚至是安全风险吗

Answer 1

如果您担心访问，请记住添加权限和筛选器。如果你专注于安全和隐藏资源，确保它们将是404而不是401或403。请看一下DRF filtering部分，在序列化程序中使用PrimaryKeyRelatedField{}，您可以根据user进行筛选

如果您担心暴露pk，只需使用uuid。它仍然可见，但人类无法预测下一个id是什么

所以，即使第三方知道资源的id，如果您想隐藏资源，它也应该返回404。这样你就向攻击者暴露了一个毫无意义的值