Hola Edu, otra forma para evitar este tipo de ataques, sería ocultar la id en la dirección y tal vez mostrar uno generado con el método uuid en su lugar... Sin embargo, en la vida real, que soluciones se utilizan? 

Imagino que el id se generará a partir de 0, de acuerdo a las direcciones que el usuario tenga en su cuenta, pero eso implicaría que cada usuario tenga su propia tabla en la base de datos, cómo se lograría esto? Seguiría utilizando una relación de uno a muchos, o eso no tiene nada que ver? Saludos