Опасно ли передавать клиенту параметр _id полученный из БД mongodb?

Question

[Sigma Male]

Добрый день. Опасно ли передавать клиенту параметр _id полученный из БД mongodb?

Answer 1

[rPman]

Нет не опасно, но пользовательский ввод все равно нужно валидровать

Answer 2

[Prg]

Да опасно. Но зависит от конфигурации, при передаче id если он используется в запросах к бд без проверки то это может привести к инъекции. Конечно если конфигурация построена таким образом что защита на максимум то можно не бояться, но лучше этого избежать и найти другой способ для реализации.

Comments

[rPman]

не нужно вводить человека в заблуждение, не знание идентификатора слабо защитит от иньекций, ведь будет другой критерий, по которому будут запросы

а не знание исходников (алгоритма) не является защитой.