具有带有OrderId的订单可见的订单详细信息的动态路由是否安全？

Question

我想问这样的反应应用程序中动态路由是否可以通过www.siteurl / orders /：id用户使用他的订单ID重定向到他的订单，然后从db中获取他的数据，其原因是为了能够进行订单跟踪，并有可能与任何客户想要的人共享订单。可以被不应该访问的人利用吗？

Answer 1

是的，其他人可以利用这种后端的路由设计。针对用户特定信息的正确路由设计应如下所示：

1. 获取路线：

   www.siteurl/orders/users/:uid : GET orders of specific user
   

2. PATCH路线：