Web 应用程序中随机 id 的方法是什么

Question

我的 URL 看起来像这样：

http://domain.com/object/23/

我希望 23 不是连续的并且相当随机。我在 Stack Overflow 上看到过许多其他帖子询问同样的事情，但我的要求与我所看到的有点不同。

我的许多使用该网站的人都是竞争对手，他们很容易通过一些数字来获取竞争信息。我这样做不是为了安全，而且我知道通过默默无闻来实现安全是浪费时间。我只是在寻找一种快速的方法来防止人们四处闲逛。

我正在使用 python/SQLAlchemy 和 Postgres 数据库来完成此操作。我查看了 UUID 主键，但它们似乎对性能造成了很大的影响，因为我发生了很多连接。我还可以在附加列中执行 UUID，然后根据顺序积分主键执行所有连接。

大多数需要此功能的表的记录数都少于 1000 条。但一张表会有几百万条记录。如果没有那个表，我只会使用 uuid 并完成它。但既然我这样做了，我真的不认为 uuid 是一个很好的选择。

真正的问题是我还有什么其他选择。

1. 使用顺序数字主键，但在数据库外部时使用某种轻量级算法动态加密/解密它们

2. 单独的列，并在创建行时生成的primary_key + Secret_key上使用sha1哈希（或其他哈希）。然后，我可以通过此哈希找到该行，并在正常 pk 上执行所有联接。

性能是这里最重要的事情，同时仍然保持一定程度的随机性和较低的碰撞几率。 #1 的加密/解密的最佳选项是什么，或者 #2 的最佳哈希算法是什么。还有比这两种方法更明显的方法吗？有了几百万行，uuid 不会让我的速度减慢太多，这就是解决方案吗？

Answer 1

为了从序列中生成唯一且看起来随机的标识符，使用密码可能是一个好主意。由于它们的输出是双射的（输入和输出值之间存在一对一的映射）——与哈希不同，您将不会发生任何冲突。这意味着您的标识符不必像哈希值一样长。

大多数加密密码都在 64 位或更大的块上工作，但 PostgreSQL wiki 有一个用于适用于（32 位）int 类型的“非加密”密码 函数。免责声明：我自己没有尝试过使用此功能。

要将其用作主键，请从 wiki 页面运行 CREATE FUNCTION 调用，然后在您的空表上执行以下操作：

ALTER TABLE foo ALTER COLUMN foo_id SET DEFAULT pseudo_encrypt(nextval('foo_foo_id_seq')::int);

瞧！

pg=> insert into foo (foo_id) values(default);
pg=> insert into foo (foo_id) values(default);
pg=> insert into foo (foo_id) values(default);
pg=> select * from foo;
  foo_id   
------------
 1241588087
 1500453386
 1755259484
(4 rows)

Answer 2

对于您想要实现的目标来说，散列/加密似乎有点矫枉过正。一个单独的列存储 10000 到 99999（或 100000、999999 等）之间的随机数，然后像这样链接：

http://domain.com/object/23-74938/

其中“74938”是随机位

Answer 3

我会选择类似选项 2 的方法：例如，使用 HMAC 和 SHA1 来生成一个哈希值，该值可以针对每个请求进行验证，甚至无需靠近数据库。我经常制作这样的防篡改“票”。例如

use Digest::HMAC_SHA1 qw(hmac_sha1_hex);
$id = shift;
print "$id.", substr(hmac_sha1_hex($id, "s3kr1t"), 0, 8), "\n"

，要验证：

use Digest::HMAC_SHA1 qw(hmac_sha1_hex);
$tkt = shift;
($id,$sum) = ($tkt =~ /(.+)\.([0-9a-f]+)/)
        or die "Invalid tkt (bad format): $tkt\n";
$sum eq substr(hmac_sha1_hex($id, "s3kr1t"), 0, 8)
        or die "Invalid tkt (MAC mismatch): $tkt\n";
print $id, "\n"

这会生成 id 23 的“23.3b30e326”“票据”。