Hallo Robert
Ich vermute, dass es mehrere IDs gleichzeitig gibt, d.h., dass man auch einfach IDs durchprobieren kann.
ich bin bei der Validierung schon sehr restriktiv und es gibt einen brute force Schutz.
Unabhängig davon spricht nach dem Kommentar von @Rolf B einiges dafür HTTP-POST zu verwenden.
Ok, ich stell das um.
Gruß Claus