当比较HTTP GET和HTTP POST时，从安全角度看有什么不同?其中一个选择是否天生就比另一个更安全?如果有，为什么?
我意识到POST没有公开URL上的信息，但其中有任何真正的价值吗?或者它只是通过隐匿性来实现安全?当安全性是一个问题时，我是否有理由更喜欢POST ?
编辑: 通过HTTPS, POST数据被编码，但url会被第三方嗅探吗?此外，我正在处理JSP;当使用JSP或类似的框架时，是否可以公平地说，最佳实践是避免将敏感数据完全放在POST或GET中，而是使用服务器端代码来处理敏感信息?
当前回答
这是一篇旧文章，但我想反对其中的一些答案。如果要传输敏感数据，则需要使用SSL。如果您使用带有GET参数的SSL(例如?userid=123)，该数据将以纯文本形式发送!如果使用POST发送，则将值放在消息的加密正文中，因此大多数MITM攻击都无法读取。
最大的区别在于数据传递的位置。如果数据放在URL中，就不能加密，否则就无法路由到服务器，因为只有你可以读取URL。这就是GET的工作方式。
简而言之，您可以在POST中通过SSL安全地传输数据，但您不能使用GET，无论是否使用SSL。
其他回答
这与安全无关，但是……浏览器不缓存POST请求。
正如之前一些人所说，HTTPS带来了安全性。
但是，POST比GET更安全，因为GET可以存储在历史记录中。
但更令人遗憾的是，有时POST或GET的选择并不取决于开发人员。例如，一个超链接总是通过GET发送(除非它使用javascript转换成post表单)。
这两种方法都不能神奇地为请求提供安全性，但是GET暗示了一些副作用，这些副作用通常会阻止请求的安全性。
GET url显示在浏览器历史记录和web服务器日志中。因此，永远不要将它们用于登录表单和信用卡号之类的内容。
然而，仅仅发布这些数据也不能保证它的安全。为此，您需要SSL。当通过HTTP使用时，GET和POST都以明文形式通过网络发送数据。
POST数据还有其他很好的理由——比如可以提交无限量的数据，或者对普通用户隐藏参数。
缺点是用户不能收藏通过POST发送的查询结果。为此，您需要GET。
Neither one of GET and POST is inherently "more secure" than the other, just like neither one of fax and phone is "more secure" than the other. The various HTTP methods are provided so that you can choose the one which is most appropiate for the problem you're trying to solve. GET is more appropiate for idempotent queries while POST is more appropiate for "action" queries, but you can shoot yourself in the foot just as easily with any of them if you don't understand the security architecture for the application you're maintaining.
最好是阅读第9章:HTTP/1.1 RFC的方法定义，以全面了解get和POST最初的含义。
许多人采用一种约定(Ross提到过)，即GET请求只检索数据，不修改服务器上的任何数据，而POST请求用于所有数据修改。虽然其中一种并不比另一种更安全，但如果你遵循这个约定，你可以应用横切安全逻辑(例如，只有拥有帐户的人才可以修改数据，因此未经身份验证的post将被拒绝)。
