Стандартной процедурой для схем баз данных является использование инкрементного первичного ключа для идентификации записей. Однако этот идентификатор также используется непосредственно в URL-адресах приложений. Злоумышленник может вручную увеличить идентификатор, чтобы найти все существующие записи. Этот вектор атаки часто упускается из виду при разработке приложений, однако его можно легко модифицировать в существующих приложениях. Необходимо расширить каждую таблицу случайным столбцом UUID v4, заменив им числовой идентификатор в URL.

https://www.dev-notes.ru/articles/database/uuid-prevent-enumeration-attack/