¿Hay algún peligro para crear UUID en JavaScript del lado del cliente?

Question

Necesito generar UUID para eventualmente almacenar en una base de datos. ¿Puedo generar estos UUID desde Javascript en el navegador del cliente (There are some examples here)?

¿Hay algún riesgo de seguridad de hacerlo de esta manera? Entiendo que cualquiera puede modificar el UUID antes de pasarlo al servidor para su almacenamiento. Así que tendré que comprobar si son realmente únicos antes de almacenarlos en la base de datos, pero aparte de eso, ¿hay alguna otra cosa para finalizar?

(Lo siento por mi Inglés, no dude en corregir los errores gramaticales)

edición: para responder a preguntas acerca de por qué me gustaría hacer esto, es porque puedo crear un nuevo objeto y es identificador en Javascript y agrégalo a mi vista y luego realiza una llamada AJAX al servidor para agregarlo a la base de datos. De esta forma, no necesito cargarlo de nuevo desde la base de datos para saber cuál es su identificador primario.

Answer 1

No realmente. Siempre que sea un identificador simple y nada más, y de hecho lo está comprobando para verificar su validez y unicidad, no es diferente de las cuentas de usuario que tienen una identificación en la url, por ejemplo.

Mire la barra de su URL. Apuesto a que 1296234 es la clave principal de esta pregunta, pero realmente no puedo hacer nada con esa información. Mismo trato con su script

Answer 2

¿Qué beneficio ves al generar estos clientes? Honestamente, la mejor opción es generarlo desde el lado del servidor, fuera del alcance de los usuarios. Puede que no lo salve de problemas serios de seguridad, pero reducirá la validación redundante.

Answer 3

¿Hay algún motivo por el que no pueda hacer que la base de datos genere (incremente) una ID?

Si, como dices, deberás verificar la exclusividad del valor antes de enviarlo de todos modos, ¿por qué no tener el lenguaje de fondo que estás utilizando? Generarlo. Eso lo haría mucho más opaco.

Answer 4

Sí. El riesgo no es específico de UUID, cualquier ID generada por el cliente tiene algunos riesgos, dependiendo de lo que haga con la ID. El problema es que es muy difícil autenticar el Javascript. Si acepta la ID generada por el cliente, acepta cualquier ID de los piratas informáticos.

Los riesgos pueden incluir,

1. robo de sesión. Si usa la identificación para identificar la sesión, alguien puede usar una ID existente como ID generada y el servidor puede tratarla como una sesión existente si no se está tomando la precaución adecuada.

2. Llaves duplicadas. El verdadero UUID es aleatorio, pero alguien puede generar claves duplicadas que arruinarán su base de datos.

Puede encontrar formas de defenderse de cada uno de estos ataques, pero esa es la protección pasiva. Podría frustrar el propósito original de generar ID en el cliente, lo cual es simple.