数据库自增主键：安全隐患还是杞人忧天？
不少开发者在使用数据库自增主键时，对其安全性心存疑虑，尤其当接口暴露了ID参数。一个常见问题是：如果接口允许根据ID获取数据，自增主键是否会使所有数据暴露于攻击者？让我们通过一个案例分析。
假设有一个GET请求接口，接收ID参数并返回对应数据。攻击者可能尝试循环遍历ID获取所有数据：
for (let i = 0; ; i++) {
fetch(`/api/data?id=${i}`)
.then(res => res.json())
.then(data => {
if (data) {
console.log(data);
} else {
// ID对应数据不存在
}
})
.catch(error => {
// 处理错误，例如权限不足
});
}
这种攻击的成功率取决于数据的公开程度和后端权限控制。
微购导购版(原天狼星)
下载
功能介绍：1.程序独立使用的MVC模式开发，程序代码与模板分离，会HTML就会做程序模板2.使用sqlite数据库，mysql数据库随便换，让您不再为购买数据库而烦恼3.增加首页数据自定义功能，导航数据自定义，快速打造属于您自己的网站4.seo伪静态设置更智能化，自定义seo规则，让蜘蛛更喜欢您的网站5.屏蔽ip访问功能5.支持一键采集功能，只要轻轻一点，上万淘宝b2c商品轻松入库，解决数据添加的
如果数据本身公开，无论主键策略如何，用户都能获取，自增主键只是其中一种途径。攻击者遍历ID只是加快了数据获取速度，并非安全漏洞。
但如果数据需要权限控制，即使攻击者知道ID也无法访问。后端应在接口层进行严格的权限校验，仅授权用户才能访问指定数据。即使攻击者遍历所有ID，也只会得到权限不足的错误，不会泄露敏感信息。
因此，自增主键本身不会直接导致数据泄露。真正的风险在于后端缺乏有效的权限控制。自增ID的实际问题是可能间接暴露业务数据量范围，对某些保密业务可能存在风险。所以，重点应放在完善的权限控制和安全策略上，而非简单避免使用自增主键。
