다른 API 이용자가 등록한 학생정보 열람가능 여부 질문

[HyeongtaekOh]

url 직접 입력을 통해 리다이렉팅 테스트를 해보던중 제 계정으로 저장되어있는 학생 명단에 포함돼있지 않은 id를 params로 입력했는데 학생 정보가 열람됩니다.
별 내용은 없어서 공개하자면 id 1234로 했는데 "체크"라는 2학년 학생 정보가 뜹니다. 포스트맨으로 재차 확인해봐도 제 계정 student list엔 포함되어있지 않은데 다른 분들이 등록한 학생 정보도 열람이 되는 것인가요 아니면 혹시 API 관리자님이 테스트용으로 만들어두신건가요?

[woohm402]

누군가 만든 학생 계정일 것 같습니다.

다른 사람이 만든 학생도 상세 정보는 조회 가능합니다. (사실 지금 생각해보니 막는 게 맞는 거 같긴 한데.. 굳이 막지 않았습니다)