Railsでユーザ管理アプリを作成したときのidはauto incrementでセキュリティ上良いのでしょうか

Question

Railsでアプリ開発をしていてセキュリティ観点から気になった点があったので相談させていただきたいです。

前提

クライアントを管理する管理画面を作ろうとしています。

client table
id
name
email

RESTな設計でいくと

/clients #一覧取得
/client/1 #id=1のclientの詳細画面
/client/new #新規作成画面
/client/create #新規作成
/client/1/edit #id=1のclientの編集画面
/client/1/update #id=1のclientの更新

となると思います。

ここで疑問に思ったのが、idをauto incrementとすると、
外部からURLの推測が容易だと思います。
すると、セキュリティ上良くないのではと疑問がわきました。

もちろん管理画面の編集者用のアカウントを発行し、ログイン認証を行いますが、
以下のような対応も行ったほうがいいのでしょうか？
また以下はRESTの原則から外れるのでしょうか？

client tableにランダムに生成した8文字をclient_keyのようなcolumnを追加し、
/client/:client_key
のようなurl設計にする。

Comments

[hentaiman]

推測出来た所で権限が無ければ利用出来ないように、まさに適切な設定をする事がセキュリティ対策ですが、そういった事はしない前提の質問でしょうか？

[Take_st]

> もちろん管理画面の編集者用のアカウントを発行し、ログイン認証を行いますが、

いえ、そこは行う予定です！その上でもしもの時を考えておいたほうがいいのかという質問でした。

[hentaiman]

それなら十分です
気になるならteratailのプロフィールURLみたいにお好きな文字列にしても良いとは思いますが

[Take_st]

回答ありがとうございました。

Answer 1

要件次第かと思います。
自身以外のユーザーの画面見てもOKなら自身かそうじゃないかで出す情報をわければいいですし、
自身以外にはPOSTさせないようにしたら良いです。

自身以外のユーザーの画面見てNGなら自身以外のアクセスは全部不正アクセスとしてエラーページにでも飛ばせば良いです。「インターセプター」で調べたらいいかもしれません。

Comments

[Take_st]

回答ありがとうございます。
インターセプター調べてみます。