это на самом деле довольно разумная идея, если вы используете большой и случайно сгенерированный URL .Есть много систем, которые на самом деле уже работают так.Например, в Google Docs вы можете создать ссылку, которую любой пользователь с этой ссылкой сможет редактировать.Это достаточно долго, чтобы вы никогда не могли реально угадать эту ссылку.Кроме того, ссылки для сброса пароля в основном таковы, за исключением того, что (надеюсь) их можно использовать только один раз.(см. ниже)
Вам необходимо убедиться, что секрет не раскрыт.Это означает, что нужно использовать https, не регистрировать доступ или возвращать секрет в других вызовах API.
При этом, как упоминалось многими вышеупомянутыми комментаторами, URL-адрес хранится во всех видах незащищенных мест на вашем компьютере, но если это противникимеет доступ к вашему компьютеру, вы уже облажались.Довольно типично предположить, что ваше устройство конечного пользователя защищено.
Кроме того, любой секрет только секрет обратно пропорционален тому, как много людей его знают.Может быть заманчиво поделиться URL-адресом с другими людьми, которым требуется доступ.Гораздо лучшая система может состоять в том, чтобы каждый URL работал один раз, но добавьте cookie в браузер пользователя, что является фактическим токеном.В основном, как поток сброса пароля / поток подтверждения электронной почты, за исключением паролей.