Web应用隐藏ID后的数据操作：如何唯一识别待编辑实体？

一、针对有公开唯一标识（如ISBN）的实体（以Book为例） #

因为Book有ISBN这个天然的公开唯一标识，完全可以用它替代数据库ID作为操作凭证：

1. 现有Dto直接复用 #

当前BookDto已包含ISBN字段，无需额外修改：

public class BookDto {
    private String title;
    private String ISBN;
    private Set<Author> bookAuthors;
    // getters, setters, etc.
}

2. 前端按钮改造 #

将原来依赖ID的逻辑改为传递ISBN：

<button type="button" onclick="editBookDetails('${bookDto.ISBN}')">编辑图书详情</button>

3. 后端接口适配 #

后端通过ISBN查询对应实体，完成操作：

@GetMapping("/books/edit")
public String editBook(@RequestParam String isbn, Model model) {
    Book book = bookRepository.findByISBN(isbn);
    // 转换为Dto或直接处理业务逻辑
    model.addAttribute("book", book);
    return "book-edit";
}

这种方案既遵循了隐藏数据库ID的最佳实践，又能通过公开唯一标识精准定位实体。

二、针对无公开唯一标识的实体 #

如果实体没有类似ISBN的天然公开唯一标识，可采用以下几种方案：

1. 加密数据库ID传递 #

后端给Dto添加加密后的ID字段，前端仅传递加密串，后端解密后获取真实ID：

• Dto改造：

  public class SomeEntityDto {
      private String title;
      private String encryptedId; // 用对称加密算法加密后的数据库ID
      // 其他字段、getters、setters
  }
  

• 前端按钮：

  <button type="button" onclick="editEntity('${entityDto.encryptedId}')">编辑</button>
  

• 后端解密处理：

  @GetMapping("/entities/edit")
  public String editEntity(@RequestParam String encryptedId, Model model) {
      Long realId = encryptionService.decrypt(encryptedId); // 自定义加密工具类解密
      SomeEntity entity = entityRepository.findById(realId).orElseThrow();
      model.addAttribute("entity", entity);
      return "entity-edit";
  }
  

  推荐使用AES这类对称加密算法，密钥由后端严格保管，安全性有保障。

2. 复合字段作为唯一查询条件 #

如果实体存在多个字段组合后唯一的情况，可将这些字段组合作为查询凭证：
比如User实体的username+email组合唯一，前端传递这两个字段：

• 前端按钮：

  <button type="button" onclick="editUser('${userDto.username}', '${userDto.email}')">编辑用户</button>
  

• 后端接口：

  @GetMapping("/users/edit")
  public String editUser(@RequestParam String username, @RequestParam String email, Model model) {
      User user = userRepository.findByUsernameAndEmail(username, email);
      model.addAttribute("user", user);
      return "user-edit";
  }
  

  这种方案适合有天然复合唯一键的场景，无需额外加密处理，实现成本低。

3. 会话级临时ID映射 #

后端渲染列表时，给每个实体分配会话内唯一的临时ID（如UUID），并在服务器会话中保存临时ID与真实ID的映射关系：

• 后端渲染列表逻辑：

  @GetMapping("/entities/list")
  public String listEntities(HttpSession session, Model model) {
      List<SomeEntity> entities = entityRepository.findAll();
      Map<String, Long> tempIdMap = new HashMap<>();
      List<SomeEntityDto> dtos = new ArrayList<>();
      for (SomeEntity entity : entities) {
          String tempId = UUID.randomUUID().toString();
          tempIdMap.put(tempId, entity.getId());
          SomeEntityDto dto = convertToDto(entity);
          dto.setTempId(tempId);
          dtos.add(dto);
      }
      session.setAttribute("tempEntityIdMap", tempIdMap);
      model.addAttribute("entities", dtos);
      return "entity-list";
  }
  

• 前端按钮：

  <button type="button" onclick="editEntity('${entityDto.tempId}')">编辑</button>
  

• 后端处理请求：

  @GetMapping("/entities/edit")
  public String editEntity(@RequestParam String tempId, HttpSession session, Model model) {
      Map<String, Long> tempIdMap = (Map<String, Long>) session.getAttribute("tempEntityIdMap");
      Long realId = tempIdMap.get(tempId);
      SomeEntity entity = entityRepository.findById(realId).orElseThrow();
      model.addAttribute("entity", entity);
      return "entity-edit";
  }
  

  这种方案完全不暴露任何与真实ID相关的信息，但依赖服务器会话，适合有状态的Web应用，需注意会话过期和并发场景的处理。

内容的提问来源于stack exchange，提问作者jakub_k