¿Es un usuario poder ver su propio UID un riesgo de seguridad?

En su caso específico no aparece. Sin embargo, en el sentido general, depende de cómo se utilizan sus UID. Si sus UID se usan en cualquier parte de su sistema como información confiable y su usuario puede deducir otros UID de su propia cuenta, tiene un problema. Por ejemplo, la compañía británica Moonpig publicó la noticia hace unos años cuando se determinó que sus identificaciones de usuario eran consecutivas y que la identificación de un usuario era información suficiente para solicitar la información privada de un usuario, incluidos nombres, cumpleaños, direcciones, los últimos cuatro créditos. Fechas de vencimiento de tarjetas y tarjetas de crédito.

Si sus UID son lo suficientemente aleatorios, entonces filtrarlos no disminuye la seguridad porque no proporcionan información adicional sobre otras cuentas a un atacante. Todavía necesitarían enumerar manualmente el posible espacio UID para encontrar los válidos. Sin embargo, la enumeración de UID no es especialmente difícil y las transacciones tan sensibles siempre deben estar protegidas por al menos otra información privada. En su caso, esa segunda información es el token que firma la solicitud.

Si el uid no proporciona acceso a nada en sí mismo, entonces no importa en absoluto. Siempre y cuando solo esté recuperando el uid del JWT en el backend, está bien. Simplemente no lo envíe en un parámetro de solicitud o consulta posterior y haga que su servidor confíe en él y estará bien.