GET或POST是否比另一个更安全?

修改POST请求更加困难(它需要比编辑查询字符串更多的努力)。换句话说，它只是通过模糊来保证安全，而且几乎不是这样。

就安全性而言，它们本质上是相同的。虽然POST确实不通过URL公开信息，但它在客户机和服务器之间的实际网络通信中公开的信息与GET一样多。如果需要传递敏感信息，那么第一道防线就是使用Secure HTTP传递。

GET或查询字符串帖子对于标记特定项目或协助搜索引擎优化和索引项目所需的信息非常有用。

POST适用于用于提交一次性数据的标准表单。我不会使用GET来发布实际的表单，除非在搜索表单中，您希望允许用户将查询保存在书签中，或者类似的东西。

没有额外的安全性。

Post数据不会出现在历史和/或日志文件中，但如果数据应该保持安全，则需要SSL 否则，任何嗅探线路的人都可以读取您的数据

我通常的选择方法是:

• 得到用于后面将通过URL为检索的项
  • 例如，搜索应该是GET，所以你可以做Search .php?s=XXX
  李< / ul > < / >
  • 帖子用于将发送的项目
    • 与GET相比，这是相对不可见的，更难发送，但数据仍然可以通过cURL发送。
    李< / ul > < / >

即使与GET相比，POST没有提供真正的安全优势，对于登录表单或任何其他具有相对敏感信息的表单，请确保使用POST作为:

1. POSTed信息不会保存在用户的历史记录中。
2. 在表单中发送的敏感信息(密码等)稍后将在URL栏中不可见(通过使用GET，它将在历史记录和URL栏中可见)。

而且，GET有理论上的数据限制。POST没有。

对于真正敏感的信息，请确保使用SSL (HTTPS)

GET对任何人都是可见的(甚至是你肩膀上的人)，并且保存在缓存中，所以使用post不太安全，顺便说一句，没有一些加密程序的post是不确定的，为了一点安全性，你必须使用SSL (https)

许多人采用一种约定(Ross提到过)，即GET请求只检索数据，不修改服务器上的任何数据，而POST请求用于所有数据修改。虽然其中一个本身并不比另一个更安全，但如果你做遵循这个约定，你可以应用横切安全逻辑(例如，只有拥有帐户的人才可以修改数据，因此未经身份验证的post将被拒绝)。

GET和POST没有一个本质上比另一个“更安全”，就像传真和电话没有一个比另一个“更安全”一样。提供了各种HTTP方法，以便您可以选择最适合您试图解决的问题的方法。GET更适合于幂等查询，而POST更适合于“action”查询，但如果你不理解你所维护的应用程序的安全架构，你可能会搬起石头砸自己的脚。

最好是阅读HTTP / 1.1 RFC中的第9章:方法定义，以全面了解get和POST最初的含义。

这与安全无关，但是……浏览器不缓存POST请求。

GET和POST之间的区别不应该从安全性的角度来看待，而应该从它们对服务器的意图来看待。GET永远不应该改变服务器上的数据——至少除了日志之外——但是POST可以创建新的资源。

好的代理不会缓存POST数据，但它们可能缓存来自URL的GET数据，因此可以说POST应该更安全。但是POST数据仍然可以用于那些性能不佳的代理。

正如在许多答案中提到的，唯一确定的赌注是通过SSL。

但是一定要确保GET方法不会提交任何更改，比如删除数据库行等等。

这两种方法都不能神奇地为请求提供安全性，但是GET暗示了一些副作用，这些副作用通常会阻止请求的安全性。

GET url显示在浏览器历史记录和web服务器日志中。因此，永远不要将它们用于登录表单和信用卡号之类的内容。

然而，仅仅发布这些数据也不能保证它的安全。为此，您需要SSL。当通过HTTP使用时，GET和POST都以明文形式通过网络发送数据。

POST数据还有其他很好的理由——比如可以提交无限量的数据，或者对普通用户隐藏参数。

缺点是用户不能收藏通过POST发送的查询结果。为此，您需要GET。

我不打算重复所有其他的答案，但有一个方面我还没有看到提到——那就是数据消失的故事。我不知道去哪里找，但是…

基本上，它是关于一个网络应用程序，每隔几晚就会神秘地丢失所有数据，而且没有人知道原因。检查日志后发现，该网站是由谷歌或其他任意蜘蛛找到的，它很高兴地GET(读:GET)它在网站上找到的所有链接——包括“删除此条目”和“你确定吗?”链接。

事实上，部分已经提到了。这就是“不要在GET上而只在POST上更改数据”背后的故事。爬虫会很高兴地遵循GET，而不是POST。即使robots.txt也不能帮助对抗行为不当的爬虫。

1. 安全如同数据传输中的安全:POST和GET之间没有区别。

2. 安全性与计算机上的数据安全一样:POST更安全(没有URL历史)

GET请求的安全性略低于POST请求。两者都不能提供真正的“安全”;本身;使用POST请求不会神奇地使你的网站免受恶意攻击的明显数量。然而，使用GET请求可以会使原本安全的应用程序变得不安全。

“不能使用GET请求来进行更改”的咒语;仍然非常有效，但这与恶意的行为没有多大关系。登录表单对于使用错误的请求类型发送最为敏感。

搜索蜘蛛和网络加速器

这就是应该使用POST请求来更改数据的真正原因。搜索蜘蛛会跟踪你网站上的每个链接，但不会提交他们找到的随机表单。

网络加速器不如搜索蜘蛛，因为它们运行在客户端机器上，并且“点击”;所有链接在登录用户的上下文中。因此，一个使用GET请求来删除内容的应用程序，即使它需要管理员，也会愉快地服从(非恶意的!)web加速器和删除它看到的所有内容的命令。

混淆副攻

混淆副攻(代理是浏览器)是不管你是使用GET还是POST请求。

在攻击者控制的网站上，GET和POST是同样容易提交 没有用户交互。

POST不太容易受到影响的唯一情况是，许多不受攻击者控制的网站(比如第三方论坛)允许嵌入任意图像(允许攻击者注入任意GET请求)，但阻止所有方式注入任意POST请求，无论是自动还是手动。

有人可能会说，网络加速器是混淆代理攻击的一个例子，但这只是一个定义的问题。如果有的话，恶意攻击者无法控制它，因此它几乎不是攻击，即使副是混淆了。

代理日志

代理服务器可能会完整地记录GET url，而不剥离查询字符串。POST请求参数通常不会被记录。在这两种情况下，cookie都不太可能被记录。(例子)

这是支持POST的一个非常薄弱的论点。首先，未加密的流量可以被完整地记录;恶意代理已经拥有了它所需要的一切。其次，请求参数对攻击者的用处有限:他们真正需要的是cookie，所以如果他们唯一拥有的是代理日志，他们就不太可能攻击GET或POST URL。

登录请求有一个例外:这些请求往往包含用户的密码。将此保存在代理日志中会打开一个在POST情况下不存在的攻击向量。然而，通过纯HTTP登录本身就是不安全的。

代理缓存

缓存代理可能会保留GET响应，但不会保留POST响应。话虽如此，GET响应可以变得不可缓存，而不是将URL转换为POST处理程序。

HTTP“Referer"

如果用户从响应GET请求的页面导航到第三方网站，该第三方网站将看到所有GET请求参数。

属于“向第三方透露请求参数”的类别，其严重性取决于这些参数中包含的内容。POST请求自然不受此影响，但是要利用GET请求，黑客需要在服务器的响应中插入到他们自己网站的链接。

浏览器历史记录

这与“代理日志”非常相似。参数:GET请求连同它们的参数一起存储在浏览器历史记录中。如果攻击者有物理访问机器的权限，他们可以很容易地获得这些信息。

浏览器刷新动作

一旦用户点击“刷新”，浏览器就会重新尝试GET请求。它可能在关闭后恢复选项卡时这样做。因此，任何行为(比如付款)都会在没有任何警告的情况下重复发生。

浏览器不会在没有警告的情况下重试POST请求。

这是只使用POST请求来更改数据的一个很好的理由，但与恶意行为无关，因此与安全性无关。

那我该怎么办呢?

• 仅使用POST请求来更改数据，主要是出于与安全无关的原因。
• 登录表单只使用POST请求;否则会引入攻击向量。
• 如果您的站点执行敏感操作，那么您确实需要一个知道自己在做什么的人，因为这不是一个简单的答案所能涵盖的。你需要使用HTTPS, HSTS, CSP，缓解SQL注入，脚本注入， CSRF，以及无数可能特定于你的平台的其他东西(比如各种框架中的大规模分配漏洞:ASP。NET MVC， Ruby on Rails等)。“安全”与“安全”之间没有任何单独的区别。(不可利用)和“不安全”。

通过HTTPS, POST数据被编码，但url会被第三方嗅探吗?

不，他们不能嗅。但url将存储在浏览器历史记录中。

是否可以公平地说，最佳实践是避免将敏感数据完全放在POST或GET中，而是使用服务器端代码来处理敏感信息?

这取决于它有多敏感，或者更具体地说，以何种方式敏感。显然客户会看到它。任何可以实际访问客户端计算机的人都可以看到它。客户端可以在发送回给您时欺骗它。如果这些很重要，那么是的，把敏感数据保存在服务器上，不要让它离开。

你也应该意识到，如果你的网站包含链接到其他外部网站，你不控制使用GET将把数据放在外部网站的引用头，当他们按下你的网站上的链接。因此，通过GET方法传输登录数据总是一个大问题。因为这可能会暴露登录凭据，以便通过检查日志或查看谷歌分析(或类似)轻松访问。

由于通过HTTP POST发送的变量比通过HTTP GET发送的变量更安全，因此没有提供更高的安全性。

HTTP/1.1为我们提供了一系列发送请求的方法:

• 选项
• 得到
• 头
• 帖子
• 把
• 删除
• 跟踪
• 连接

让我们假设你有以下HTML文档使用GET:

<html>
<body>
<form action="http://example.com" method="get">
User: <input type="text" name="username" /><br/>
Password: <input type="password" name="password" /><br/>
<input type="hidden" name="extra" value="lolcatz" />
<input type="submit"/>
</form>
</body>
</html>

你的浏览器会问什么?它问的是:

 GET /?username=swordfish&password=hunter2&extra=lolcatz HTTP/1.1
Host: example.com
Connection: keep-alive
Accept: application/xml,application/xhtml+xml,text/html;q=0.9,text/ [...truncated]
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.0; en-US) [...truncated]
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3

现在让我们假设我们将请求方法更改为POST:

 POST / HTTP/1.1
Host: example.com
Connection: keep-alive
Content-Length: 49
Cache-Control: max-age=0
Origin: null
Content-Type: application/x-www-form-urlencoded
Accept: application/xml,application/xhtml+xml,text/ [...truncated]
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.0; [...truncated]
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3


username=swordfish&password=hunter2&extra=lolcatz

这些HTTP请求的这两个是:

• 不加密的
• 包括在两个例子中
• 可以被偷取，并受到MITM攻击。
• 很容易被第三方复制，和脚本机器人。

许多浏览器不支持POST/GET以外的HTTP方法。

许多浏览器行为存储页面地址，但这并不意味着你可以忽略这些其他问题。

具体来说:

一种天生就比另一种更安全吗?我意识到POST不会暴露URL上的信息，但其中是否有任何真正的价值，或者它只是通过隐匿性来安全?这里的最佳实践是什么?

这是正确的，因为您使用的HTTP软件倾向于使用一种方法存储请求变量，而不是另一种方法，这只会阻止某人查看您的浏览器历史记录或其他一些来自自认为了解h4x0r1ng的10岁孩子的幼稚攻击，或检查您的历史存储的脚本。如果你有一个可以检查你的历史存储的脚本，你也可以很容易地有一个检查你的网络流量的脚本，所以整个安全性通过隐蔽性只是为脚本小子和嫉妒的女朋友提供隐蔽性。

在https上，POST数据被编码，但url可能被第三方嗅探?

通过SSL POST

q5XQP%RWCd2u#o/T9oiOyR2_YO?yo/3#tR_G7 2_RO8w?FoaObi)
oXpB_y?oO4q?`2o?O4G5D12Aovo?C@?/P/oOEQC5v?vai /%0Odo
QVw#6eoGXBF_o?/u0_F!_1a0A?Q b%TFyS@Or1SR/O/o/_@5o&_o
9q1/?q$7yOAXOD5sc$H`BECo1w/`4?)f!%geOOF/!/#Of_f&AEI#
yvv/wu_b5?/o d9O?VOVOFHwRO/pO/OSv_/8/9o6b0FGOH61O?ti
/i7b?!_o8u%RS/Doai%/Be/d4$0sv_%YD2_/EOAO/C?vv/%X!T?R
_o_2yoBP)orw7H_yQsXOhoVUo49itare#cA?/c)I7R?YCsg ??c'
(_!(0u)o4eIis/S8Oo8_BDueC?1uUO%ooOI_o8WaoO/ x?B?oO@&
Pw?os9Od!c?/$3bWWeIrd_?( `P_C?7_g5O(ob(go?&/ooRxR'u/
T/yO3dS&??hIOB/?/OI?$oH2_?c_?OsD//0/_s%r

通过SSL

rV/O8ow1pc`?058/8OS_Qy/$7oSsU'qoo#vCbOO`vt?yFo_?EYif)
43`I/WOP_8oH0%3OqP_h/cBO&24?'?o_4`scooPSOVWYSV?H?pV!i
?78cU!_b5h'/b2coWD?/43Tu?153pI/9?R8!_Od"(//O_a#t8x?__
bb3D?05Dh/PrS6_/&5p@V f $)/xvxfgO'q@y&e&S0rB3D/Y_/fO?
_'woRbOV?_!yxSOdwo1G1?8d_p?4fo81VS3sAOvO/Db/br)f4fOxt
_Qs3EO/?2O/TOo_8p82FOt/hO?X_P3o"OVQO_?Ww_dr"'DxHwo//P
oEfGtt/_o)5RgoGqui&AXEq/oXv&//?%/6_?/x_OTgOEE%v (u(?/
t7DX1O8oD?fVObiooi'8)so?o??`o"FyVOByY_ Supo? /'i?Oi"4
tr'9/o_7too7q?c2Pv

(注意:我将HEX转换为ASCII，其中一些显然是不可显示的)

整个HTTP会话都是加密的，通信的唯一可见部分是在TCP/IP层(即IP地址和连接端口信息)。

POST的唯一安全措施是什么?防止嫉妒的前任翻看你的浏览记录。就是这样。全世界的人都登录了你的账户嘲笑你。

为了进一步证明为什么POST是不安全的，Facebook到处使用POST请求，那么像FireSheep这样的软件是如何存在的呢?

请注意，即使您使用HTTPS，并且您的站点不包含XSS漏洞，您也可能会受到CSRF攻击。简而言之，这种攻击场景假设受害者(您站点或服务的用户)已经登录并拥有适当的cookie，然后受害者的浏览器被请求对您的(据称是安全的)站点执行一些操作。如果您没有针对CSRF的保护，攻击者仍然可以使用受害者凭证执行操作。攻击者无法看到服务器响应，因为它将被传输到受害者的浏览器，但损害通常已经造成。

区别在于GET发送数据是开放的，而POST是隐藏的(在http-header中)。

所以get更适合于不安全的数据，比如谷歌中的查询字符串。Auth-data永远不会通过GET发送，所以在这里使用POST。当然，整个主题有点复杂。如果你想阅读更多，请阅读这篇文章(德语)。

POST的安全性更差的是GET默认被记录的一个原因是，参数和所有数据几乎都被你的web服务器记录。

帖子是相反，它几乎普遍是没有记录，导致很难发现攻击者的活动。

我不买“它太大了”的说法，这不是不记录任何东西的理由，至少1KB，这对人们识别攻击者很有帮助，直到它出现，然后POST做了双重dis-service，通过启用任何基于HTTP的后门来无声地传递无限数量的数据。

考虑一下这种情况:一个草率的API接受如下GET请求:

http://www.example.com/api?apikey=abcdef123456&action=deleteCategory&id=1

在某些设置中，当您请求此URL时，如果有关于请求的错误/警告，则整行内容将记录在日志文件中。更糟糕的是:如果您忘记禁用生产服务器中的错误消息，则此信息将在浏览器中显示!现在你已经把你的API密钥给了所有人。

不幸的是，有一些真正的API是这样工作的。

我不喜欢在日志中有一些敏感信息或在浏览器中显示它们的想法。POST和GET是不同的。在适当的地方使用它们。

这是一篇旧文章，但我想反对其中的一些答案。如果要传输敏感数据，则需要使用SSL。如果您使用带有GET参数的SSL(例如?userid=123)，该数据将以纯文本形式发送!如果使用POST发送，则将值放在消息的加密正文中，因此大多数MITM攻击都无法读取。

最大的区别在于数据传递的位置。如果数据放在URL中，就不能加密，否则就无法路由到服务器，因为只有你可以读取URL。这就是GET的工作方式。

简而言之，您可以在POST中通过SSL安全地传输数据，但您不能使用GET，无论是否使用SSL。

安全的概念是没有意义的，除非你定义了你想要防范的是什么。

如果您希望对存储的浏览器历史记录、某些类型的日志记录以及查看您的url的人保持安全，那么POST更安全。

如果您希望安全防范某人嗅探您的网络活动，那么没有什么区别。

甚至POST也接受GET请求。假设您有一个表单，其中有user.name和user这样的输入。Passwd，这些应该支持用户名和密码。如果我们简单地添加一个user.name="my user&user. "Passwd =“我的密码”，则请求将通过“绕过登录页面”被接受。

对此的解决方案是在服务器端实现过滤器(java过滤器作为e)，并检测到没有字符串查询作为GET参数传递。

最近攻击发布了，它允许人在中间显示压缩HTTPS请求的请求体。由于请求头和URL没有被HTTP压缩，GET请求可以更好地防止这种特定的攻击。

有模式，其中GET请求也是脆弱的，SPDY压缩请求头，TLS也提供了可选的(很少使用)压缩。在这些情况下，攻击更容易预防(浏览器供应商已经提供了修复程序)。HTTP级别的压缩是一个更基本的特性，供应商不太可能禁用它。

这只是一个示例，展示了GET比POST更安全的场景，但从这种攻击原因来看，我不认为选择GET而不是POST是一个好主意。这种攻击相当复杂，需要非常重要的先决条件(攻击者需要能够控制部分请求内容)。在攻击可能有害的情况下，最好禁用HTTP压缩。

RFC7231:

" uri是用来共享的，而不是用来保护的，即使它们是被识别的 获取资源。uri通常显示在添加到的显示器上 模板当一个页面被打印出来，并存储在各种 未受保护的书签列表。因此，包括 URI中的敏感信息、个人身份信息、

这个RFC明确指出不应该使用GET提交敏感数据。由于这句话，一些实现者可能不会同样小心地处理从GET请求的查询部分获得的数据。我自己也在研究一个保证数据完整性的协议。根据这个规范，我不应该保证GET数据的完整性(我将这样做，因为没有人遵守这些规范)

正如之前一些人所说，HTTPS带来了安全性。

但是，POST比GET更安全，因为GET可以存储在历史记录中。

但更令人遗憾的是，有时POST或GET的选择并不取决于开发人员。例如，一个超链接总是通过GET发送(除非它使用javascript转换成post表单)。

免责声明:以下几点仅适用于API调用，不适用于网站url。

网络安全:你必须使用HTTPS。在这种情况下，GET和POST同样安全。

浏览器历史记录:对于前端应用程序，如Angular JS, React JS等，API调用是前端进行的AJAX调用。这些不会成为浏览器历史的一部分。因此，POST和GET是同样安全的。

服务器端日志:通过使用写数据屏蔽和访问日志格式，可以从request-URL中隐藏所有或仅隐藏敏感数据。

浏览器控制台中的数据可见性:对于怀有恶意的人来说，查看POST数据和查看GET数据几乎是一样的。

因此，通过正确的日志记录实践，GET API与POST API一样安全。在所有地方都使用POST，会强制执行糟糕的API定义，应该避免。

Post与安装SSL一起是最安全的，因为它在消息体中传输。

但所有这些方法都是不安全的，因为它下面使用的7位协议可以通过擒纵被破解。即使是通过四级网络应用防火墙。

套接字也不能保证…尽管它在某些方面更安全。

除非使用https，否则不存在安全性—使用https, GET和POST之间的传输安全性是相同的。

但是一个重要的方面是客户机和服务器在记住请求时的区别。在考虑使用GET或POST进行登录时，要记住这一点非常重要。

使用POST，密码由服务器应用程序处理，然后丢弃，因为一个好的设计不会在数据库中存储密码——只存储加密安全的散列。

但是使用GET，服务器日志最终将包含包含查询参数的请求。因此，无论数据库中的密码哈希值有多好，服务器日志仍然会以明文形式包含密码。除非对文件系统进行加密，否则即使在删除日志文件之后，服务器磁盘仍将包含这些密码。

使用访问令牌作为查询参数时也会出现同样的问题。这也是为什么考虑在HTTP报头数据中提供任何访问令牌是有意义的原因——比如在授权报头中使用承载令牌。

服务器日志通常是web服务中最薄弱的部分，允许攻击者从泄露的信息中提升他们的访问权限。