- Verschifft
- 20. August 2026 um 14:43 UTC
- Autor
- Kamo
- Ausschuss
- 5834b1b
Das öffentliche Token war <memberId?.<iteration", was in zweierlei Hinsicht falsch war. Es veröffentlicht eine echte Mitglieds-ID in jedem Link, den Sie auf einer Visitenkarte haben, eine E-Mail-Signatur, im Posteingang von jemand anderem - und es hat den ganzen Raum gemacht begehbar: ein Link sagte Ihnen das Mitglied, und Zählen von .1 aufgezählt ihre andere Kampagnen. Ein Konkurrent konnte sehen, wie viele jemand läuft, und jeder könnte schmieden einen plausiblen Code für ein Mitglied, das sie nie getroffen hatten. CODE enthält jetzt eine zufällige UUID und der URL-Parameter ist ?discount=. Die Spalte, seine Länge und sein einzigartiger Index sind unverändert; nur das, was in ihm geht, bewegte sich. ITERATION und uq_mtc_org_member_iter sind damit verschwunden. Ihr einziger Job war Sequenzierung dieses Tokens, und Sequenzierung ist, was gezwungen max(iteration) + 1 . Lesen-then-schreiben zwei Registerkarten können beide gewinnen, die eine einzigartige Einschränkung benötigt, um zu fangen, ein erneuter Versuch, sich zu erholen, und dass in einer BRAND-NEW-Transaktion wieder versuchen, weil ein unique_violation bricht die Transaktion ab, bei der es auf YSQL passiert ist. Alles existierte eine Zahl zu verteidigen, die niemand braucht. Eine UUID hat nichts zu kollidieren; die einzigartige Index auf CODE bleibt der Backstop. Das Token ist absichtlich immer noch eine Spalte und nicht die primäre Schlüsselzeile, sogar obwohl beide UUIDs sind. Sie auseinander zu halten ist, was eine Verbindung wiederveröffentlichbar macht: ein Token die abgekratzt, gespammt oder auf dem falschen Flyer gedruckt wird, kann an Ort und Stelle ersetzt werden während die Besucher, Veranstaltungen und Konvertierungen bereits an der Reihe angebracht bleiben, wo sind sie und hält die id die authentifizierten API-Adressen aus öffentlichen URLs heraus.