nicht angemeldet
Das kannst Du gerne für Dich selbst entscheiden. Fakt ist, daß ein Benutzer die Klassenbindung aufheben kann und die dem URL zugedachte Anwendung mit einer anderen Klasse nicht das macht was sie soll.
Dann erkläre mal, wie so ein Angriffsvektor aussehen könnte.
Rolf B