Geradores

Um gerador parece o único tipo de ferramenta em que não poderia importar de forma alguma onde o trabalho acontece. Importa duas vezes.

O primeiro motivo é que um gerador do lado do servidor viu cada identificador que deu a você. Se eles viram chaves primárias, chaves de API, tokens de convite ou qualquer outra coisa com autoridade anexada, um terceiro agora tem uma lista deles. É improvável que isso seja explorado e ainda assim é uma exposição totalmente evitável, porque o navegador tem uma fonte de aleatoriedade criptográfica perfeitamente boa embutida.

O segundo é a qualidade. Uma quantidade desanimadora de geradores online chama Math.random(), que é um PRNG rápido e não criptográfico. A saída dele é uniforme o suficiente para parecer aleatória e é previsível a partir de uma sequência curta de valores anteriores. Para um fixture de teste isso é inofensivo. Para qualquer coisa que controle acesso é uma vulnerabilidade, e nada na saída distingue os dois casos. Estas ferramentas usam exclusivamente crypto.getRandomValues().

A escolha entre versões de UUID é a decisão que mais vale acertar, e costuma ser tomada por acidente. v4 — aleatoriedade pura — é o padrão em quase todo lugar, e é uma chave primária ruim em escala por um motivo estrutural: valores aleatórios se espalham por um índice B-tree, então cada insert toca uma página diferente, a taxa de acerto do cache despenca e o índice se fragmenta. As equipes em geral descobrem isso como uma degradação lenta e inexplicada no throughput de escrita, em algum ponto depois dos primeiros milhões de linhas.

v7 corrige isso colocando um timestamp em milissegundos nos 48 bits iniciais, então identificadores gerados próximos no tempo se ordenam próximos, e os inserts anexam à ponta quente do índice. É o padrão certo para chaves de banco de dados sob o RFC 9562. A contrapartida é real e vale registrar: um identificador v7 publica o próprio momento de criação para qualquer pessoa que consiga lê-lo, então, para um identificador público em que isso é sensível, v4 ainda é o correto.

v1 está incluído por completude e para ler dados legados. Ele codifica um timestamp e, na forma original, o endereço MAC da máquina que o gerou — foi por isso que caiu em desuso, e é por isso que poder inspecionar um é mais útil do que poder criar um. Se você precisa converter um valor gerado em outra representação, a ferramenta de Base64 fica ao lado, e o Formatador de JSON arruma um arquivo de seed no qual você colou identificadores.