要么前端不要用 id，使用 uuid 做主键，要么后端做限制，判断当前操作用户是这条信息的 creator 或者超管权限才可以删除

不用防止参数被更改，应该做权限控制

pundit 了解一下

同楼上。

不过如果你非要防止更改，且页面是后端渲染的话，可以给请求链接加个签名，后端校验签名...

很简单，你这里应该先在接口里校验好友关系，如果不是好友需要报错 403 forbidden 之类的。

接口不应该信任前端参数，必须做校验的，不做校验就是安全漏洞了。