Spring Boot REST API如何避免暴露实体内部数据库主键？

核心结论：必须改用uniqId作为对外API的资源标识 #

完全应该把对外查询API改成基于uniqId的形式，数据库主键id仅保留在内部用于数据库关联、操作，绝对不能暴露给外部。原因有三个：

1. 避免业务数据泄露：如果用自增主键，外部调用者可以通过id的递增规律推断出订单总量、业务增长速度等敏感信息。
2. 防止恶意遍历攻击：攻击者可以通过枚举自增id批量爬取所有订单数据，而GUID类型的uniqId无法被枚举。
3. 提升API稳定性：主键可能因为分库分表、数据迁移等场景发生变化，但全局唯一的uniqId可以保持永久不变，不会影响外部调用者的使用。

对外API暴露的最佳方式 #

• 单个订单查询：使用GET /api/v1/orders/{order-uniq-id}，路径参数明确命名为order-uniq-id避免混淆；返回的响应体中只包含uniqId，绝对不出现数据库主键id。
• 订单列表查询：保留GET /api/v1/orders，但返回的列表项中仅暴露uniqId及其他业务字段，隐藏id。如果需要分页，使用常规的page、size参数，不要用id作为分页游标。
• 订单创建：POST /api/v1/orders的响应体只返回uniqId，示例响应：

  {
    "uniqId": "550e8400-e29b-41d4-a716-446655440000",
    "totalAmount": 99.9,
    "createTime": "2024-05-20T10:00:00"
  }
  

• 其他操作（更新/删除）：统一使用uniqId作为资源标识，比如PUT /api/v1/orders/{order-uniq-id}、DELETE /api/v1/orders/{order-uniq-id}。

注意：内部服务间调用如果追求性能，可以使用数据库主键，但对外接口必须严格屏蔽id。

订单实体的数据库Schema构建方案 #

以MySQL为例，Schema设计兼顾性能与安全性：

CREATE TABLE orders (
    id BIGINT AUTO_INCREMENT PRIMARY KEY COMMENT '数据库内部主键，仅用于关联和操作',
    uniq_id VARCHAR(36) NOT NULL UNIQUE COMMENT '订单全局唯一标识，对外暴露',
    -- 业务字段示例
    user_id BIGINT NOT NULL COMMENT '下单用户ID',
    total_amount DECIMAL(10,2) NOT NULL COMMENT '订单总金额',
    status TINYINT NOT NULL COMMENT '订单状态：1-待支付，2-已支付，3-已取消',
    created_at DATETIME DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
    updated_at DATETIME DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '更新时间',
    -- 外键关联示例（内部使用id）
    FOREIGN KEY (user_id) REFERENCES users(id)
);

-- 为uniq_id建立唯一索引，确保查询性能
CREATE UNIQUE INDEX idx_orders_uniq_id ON orders(uniq_id);

Spring Boot实体类配套处理

用JPA自动生成uniqId，确保创建订单时自动赋值：

import jakarta.persistence.*;
import java.util.UUID;

@Entity
@Table(name = "orders")
public class Order {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    @Column(name = "uniq_id", unique = true, nullable = false, length = 36)
    private String uniqId;

    // 业务字段
    @Column(name = "user_id", nullable = false)
    private Long userId;

    @Column(name = "total_amount", nullable = false)
    private Double totalAmount;

    @Column(nullable = false)
    private Integer status;

    // 自动生成uniqId
    @PrePersist
    public void generateUniqId() {
        if (this.uniqId == null) {
            this.uniqId = UUID.randomUUID().toString();
        }
    }

    // Getter、Setter省略
}

额外注意事项 #

• 所有对外接口的请求、响应、错误信息中，绝对不能出现数据库主键id。
• 如果需要做订单关联（比如订单明细），内部用order.id做外键，对外返回明细时只关联order.uniqId。
• 若使用分布式系统，id可以改用雪花ID等分布式主键生成方案，但依然只在内部使用；uniqId保持全局唯一即可。

内容的提问来源于stack exchange，提问作者Rpj