在 URL 中使用随机哈希如何提高资源的安全性

Question

我注意到Gmail使用随机字符串来标识URL中的每封电子邮件。

这比简单的自动递增ID安全得多吗？

如果您无权访问 ID，无论哪种方式，服务器都会拒绝您访问。无论 ID 是否存在，它都可以返回相同的错误消息。使用密码，这是不同的，因为尝试不同的哈希需要时间 - 对于资源，除了可能需要更长的时间才能找到存在的电子邮件之外，我没有看到好处。

Answer 1

我不认为这个字符串是随机的。我刚刚看了一下我的几个Gmail收件箱，数字有一个明确的模式。出于这个原因以及您已经说明的原因，我认为 URL 中的 ID 不是为了提高安全性。