列挙攻撃

定番の経路は、「このユーザー名は既に使われています」というメッセージ、パスワード違いとユーザー不明で異なるエラー、/users/1、/users/2……と連番で辿れるURLなどである。対策は、エラーメッセージを一般化すること、レート制限、連番IDの代わりにUUIDを使うことだ。