По UUID согласен — перебор с просто brute force почти бесполезен, лучше всего ловить их в JSON-ответах с пагинацией, списках пользователей или логах, где иногда случайно проскакивают. Param Miner реально выручает — поднимает скрытые параметры, которые можно дальше ручками проверять. Ну и не забывать про session fixation и другие косвенные моменты, где UUID могут просочиться. Рад что топчик сделал, материал актуальный.