Sqids в Laravel: практическое руководство по обфускации ваших ID Одна из опасностей, которую многие разработчики упускают из виду, — это перебор идентификаторов (key enumeration).
Когда злоумышленник находит брешь в контроле доступа вашего приложения, ему становится тривиально пройтись по всем последовательным ID, которые отдаёт эндпоинт, и собрать все записи этого ресурса. Один архивариус в 2021 году знаменито выкачал терабайты публичного контента Parler — и всё благодаря предсказуемым последовательным идентификаторам, отсутствию требования авторизации для публичного API и отсутствию нормального рейт-лимитирования.
Решение проблемы — сделать ID неинкрементными.
👉 https://www.kobzarev.com/laravel/sqids-in-laravel-short-public-ids/
👮♂️ Злой полицейский
В этом посте были ссылки, но мы их удалили по правилам Сетки
