Коллега прав, это немножко раскрывает структуру приложения и потенциально облегчает взлом.
Работодатель наказать может только если прописано, это верно.
Тем кто пишет агрументы типа "вконтактик так делает и ничо" могут немного погуглить, посмотреть сколько во вконтактике находили дырок за всю историю. И некоторые из этих дырок включали в себя использование "общеизвестных id", внезапно. (
1,
2)
С другой стороны, довольно сложно сделать взаимодействие с сервером вообще без использования каких-то идентификаторов, или используя уникальные одноразовые токены. Заморачиваться с этим стоит только в том случае, если вам за это будут приплачивать.