セキュリティ○×難易度 標準

請求書の ID を推測しにくい UUID にすれば、見ようとしている人が持ち主かどうかの確認は不要になる。

正答

× 誤り

解説

UUID にすると連番より推測しにくくなり、id を 1 ずつ変えて片端から読む攻撃は難しくなる。しかし ID は URL としてメールやチャットで共有され、ブラウザの履歴、アクセスログ、リファラー、別の API の応答などからも漏れる。一度 ID を知られれば、持ち主の確認が無い限り誰でも読めてしまう。推測しにくい ID は被害を減らす補助にはなるが、認可の代わりにはならない。リクエストのたびに、サーバー側でログイン中の利用者がそのデータを見てよいかを確かめる。

参考: cheatsheetseries.owasp.org

idorauthorizationuuid