LaravelのモデルのIDは連番で大丈夫なのか

Question

たとえばLaravelでUserモデルを作り、次のようにしてユーザページへアクセスするサービスを考えます。

http://example.com/user/1

(1の部分はユーザIDとします)

Laravelのモデル作成記事をいくつか見てみたのですが、どれも

Schema::create('users', function (Blueprint $table) {
    $table->increments('id');
    $table->timestamps();
});

のようにIDを連番で生成していました。連番でIDを振るとセキュリティ的に何かマズイ気がするのですが、大丈夫なのでしょうか？

そもそもURLに主キーを混ぜるべきではないのでしょうか？

Answer 1

それが安全なのかは、どのようなシステムを作るかによります。

コミュニティサイトのような、誰もが他にどんなユーザーがいるかはっきりするようなサイトであれば、連番でも全く問題ありません。

一方で、他のユーザーと交流しないような、たとえば会員制の通販サイトであれば、http://example.com/user/1のようなページは、ユーザー側にはそもそも不要です（自分のが見られればそれでいいわけですし）。

Answer 2

既に解決済みですが、連番であると、IDからユーザー数の数が予測できるなどで体裁があまりよろしくないというのであれば、以下のlaravel-hashidsを利用すると、数字からハッシュ文字列への相互変換が簡単にできるので役に立つかもしれません。
laravel-hashids

Answer 3

連番になってるユーザーIDが、ユーザーログイン時にパスワードとともにログインフォームへ入力させられる値でないなら、大丈夫ではないでしょうか？

もちろん、編集、削除などのリクエストがサーバー側に送られてきた場合は、そのユーザーがその操作を実行出来る権限があるかどうかの確認をしていることが前提ですが、これはユーザーIDが連番かどうかに関わらずやることなので。

Answer 4

既に解決済みですが、自分もURLにはIDはいらないと思います。ユーザーのページを表示したりする場合は、hiddenに入れとけばようかと。更新する場合は、postすればようかと。セキュリティも考え様ですが、必須情報以外は隠蔽するのが良いと思いますね。