Considerando um exemplo bem básico: suponha que exista um sistema web em que o usuário pode visualizar seu perfil (e de demais usuários) por meio de um identificador único passado para uma rota, por exemplo:
https://sistema.io/profiles/<identificador>
Então foi escolhido utilizar o campo ID da entidade que contém os dados daquele usuário persistido no meu BD. Assim, supondo que meu sistema tenha um usuário João que teve seu identificador gerado no registro como 100
, seu perfil poderia ser acessado por meio do seguinte link:
https://sistema.io/profiles/100
Minha questão é: expor esse tipo de dado (o ID, a chave primária da tabela) é um problema grave de segurança? Aqui eu utilizei o exemplo da URL, mas poderia ser qualquer exemplo no qual a primary key ficasse exposta para quem está utilizando a aplicação.
Eu já ouvi muito que isso é grave por conta dos relacionamentos que a entidade pode possuir mas não entendi como isso ocasionaria uma brecha de segurança na minha aplicação sem ter um exemplo claro.