Dlaczego tak
To podatność typu IDOR (niebezpieczne bezpośrednie odwołanie do obiektu): serwer ufa identyfikatorowi przesłanemu przez klienta i nie sprawdza uprawnień. Jedynym skutecznym zabezpieczeniem jest kontrola autoryzacji po stronie serwera dla każdego żądania. HTTPS szyfruje transmisję, ale nie zmienia tego, co serwer wydaje. Przeniesienie id do treści żądania POST tylko utrudnia jego zmianę zwykłemu użytkownikowi, a atakujący i tak ją wykona.