Flask应用中未对外公开的随机路由能否保持完全私有？

• 如果你使用的是密码学安全的方式生成的足够长的随机路由，比如类似/some_super_random_long_and_unguessable_route这种长度、包含无规律字符的路径，且没有在任何公开页面、站点地图、对外分享的内容里提到该路由，普通访问者几乎不可能通过暴力枚举的方式找到这个路由，枚举所需的时间和算力成本高到完全不具备可行性。
• 但这不代表这个路由绝对不会被发现，以下几种常见情况都可能导致路由泄露：
  • 你或其他有权限访问该路由的人，访问时走了未加密的HTTP协议，URL被传输路径上的中间节点抓包获取
  • 访问过该路由的设备存在浏览记录泄露风险，比如设备被入侵、浏览器恶意插件读取历史记录、跨设备浏览同步时泄露
  • Flask应用开启了调试模式（debug=True），框架的报错页面会默认列出所有已注册的路由，访问者只要触发报错就能直接看到所有路径
  • 服务器访问日志、应用运行日志中记录了路由路径，一旦日志文件泄露，路由也会同步暴露
  • 你或其他相关人员不小心在公开场景（如代码截图、日志分享、公开聊天记录）中泄露了该路径
• 最后特别提醒：永远不要把「隐藏路由」作为唯一的安全防护手段，如果这个路由对应的是敏感操作，一定要额外加身份校验逻辑（如登录态校验、API密钥校验），否则一旦路由泄露，完全没有任何防护能力。

内容的提问来源于stack exchange，提问作者raunasur