mongo ObjectIdを文字列に変換してURLに使用しても大丈夫ですか？

一般的に、内部（DB IDなど）をクライアントに公開する場合は注意が必要だと思います。 URLは簡単に操作でき、ユーザーはユーザーに望まないオブジェクトにアクセスできる可能性があります。

特にMongoDBの場合、オブジェクトIDによって追加の内部構造が明らかになることもあります（こちら ）、つまり、完全にランダムではありません。それも問題になるかもしれません。