Как грамотно замаскировать поле _id при передаче на UI?
"почти точно" знать
почти точно взломать, почти точно увидеть секретные секреты.
Тому кто захочет узнать какие-то секретные ссылки в последнюю очередь в голову придёт перебирать цифры в такой строке, потому что изначально видно что это очень длинный набор буквоцифр, который просто так не подобрать.
Только если это упоротый школьник, который вообще ничего не понимает в жизни.
Опять же что получить "почти одинаковые" записи надо добавлять прям вообще одномоментно.
Дальше чем 1 ID соседний вряд ли "переберётся" брутом.
Короче это все Неуловимый Джо.
И если нужна безопасность и защита от чужих глаз - нужно авторизацию проверять.
Apogeios там на самом деле основано на метке времени, но это просто чтобы админы не сказали что на вопрос не ответил.
По твоему вопросу недавно удаленному про 20к, есть идеи, но такие вещи публично не обусуждаються. 
Если намерения серьезные, пиши в скайп FenixSumi, обговорим, если теоретическое размышление то сам понимаешь.