Хочу защититься от перебора, но не могу найти правил хорошего тона как это сделать, кроме rand ничего путного в голову не приходит.
"user_id_" . rand()
Но как то слишком очевидно что ли.
Stack Overflow на русском — это сайт вопросов и ответов для программистов. Присоединяйтесь! Регистрация займёт не больше минуты.
Присоединиться к сообществуА можно просто подобрать функцию, которая однозначно будет преобразовывать id. Наружу выдавать преобразованный. Самая простая функция - переставлять биты местами. Но можно пойти дальше. Навряд ли будет 4млд пользователей, поэтому два бита отводим для контрольной суммы (они могут быть и в по середине). Специальный код следит за тем, что бы контрольная сумма совпадала. Если нет - ставит аккуратно бан.
Математика вам в помощь. Пример для PostgreSQL:
CREATE TABLE t1 (
id BIGINT NOT NULL DEFAULT ((((nextval('t1_id_seq'::regclass))::numeric *
(678223072849::bigint)::numeric)
% ((1000000000)::bigint)::numeric)
+ (<SOME_OFFSET_VALUE>::bigint)::numeric)
);
Это биективное отображение N -> N для всех N от 0 до 999999999. На вид выглядит как выбор случайных чисел.
можно сгенерить таблицу с последовательными id, перемешать ее, перенумеровать, потом брать их оттуда
real_id | random_id
1 | 1234432
2 | 5645234
id
, а дальше то что? Как то торможу. Приведите конкретный кейс атаки.