RESTセキュリティリソースを公開するときの良い方法ID

Question

RESTベースのシステムでは、リソースIDを「暗号化」するオプションは何ですか？例えば

：

/client/2 

が

/client/SOMEHASHKEY 

でアクセスできるようになり、私は思っています：

1 - リソースのIDを追跡するDBのテーブルを持っており、それは、対応するHASHだとすべてのリクエストでそれを参照してください。これは明らかに実装するのが非常に重いようであり、サーバーの作業をかなり増やします。

2 - それは（明らかに最適ではありませんが、あなたはポイントを得る）、リソースのIDとBASE64のリソースの作成日付に基づいてインスタンスのハッシュを作成し、内部の暗号化アルゴリズムのいくつかの種類を持っている

だからでありますこの種のシナリオの良い習慣？あなたは何をお勧めします ？

多くのおかげ

Answer 1

あなたの意図は、それがハードクライアントIDを推測するために行い、その後uuidsを使用し、そのよう21EC2020-3AEA-1069-A2DD-08002B30309D限りguids例えば32進文字になる場合。

ドメイン内のエンティティの識別は、完全にRESTサービスを提供する実装に依存します。

一部のアプリケーションでは、デフォルトでGUIDを使用してエンティティを識別します。良い例は、例えばlovefilm APIです：

GET /users/9D48675C-096F-11DC-BF5A-88D01745CE5C HTTP/1.1 
Host: openapi.lovefilm.com 

しかし、ハードに推測の識別子を使用して、不正なアクセスから保護し、実際の認証機構のための代替ではありませんしません。