当比较HTTP GET和HTTP POST时，从安全角度看有什么不同?其中一个选择是否天生就比另一个更安全?如果有，为什么?
我意识到POST没有公开URL上的信息，但其中有任何真正的价值吗?或者它只是通过隐匿性来实现安全?当安全性是一个问题时，我是否有理由更喜欢POST ?
编辑: 通过HTTPS, POST数据被编码，但url会被第三方嗅探吗?此外，我正在处理JSP;当使用JSP或类似的框架时，是否可以公平地说，最佳实践是避免将敏感数据完全放在POST或GET中，而是使用服务器端代码来处理敏感信息?
当前回答
最近发布了一种攻击，它允许中间人泄露压缩HTTPS请求的请求体。由于请求头和URL没有被HTTP压缩，GET请求可以更好地防止这种特定的攻击。
在某些模式下，GET请求也容易受到攻击，SPDY压缩请求头，TLS也提供可选的(很少使用)压缩。在这些情况下，攻击更容易预防(浏览器供应商已经提供了修复程序)。HTTP级别的压缩是一个更基本的特性，供应商不太可能禁用它。
这只是一个示例，展示了GET比POST更安全的场景，但从这种攻击原因来看，我不认为选择GET而不是POST是一个好主意。这种攻击相当复杂，需要非常重要的先决条件(攻击者需要能够控制部分请求内容)。在攻击可能有害的情况下，最好禁用HTTP压缩。
其他回答
免责声明:以下几点仅适用于API调用，不适用于网站url。
网络安全:必须使用HTTPS。在这种情况下，GET和POST同样安全。
浏览器历史记录:对于前端应用程序，如Angular JS, React JS等，API调用是前端进行的AJAX调用。这些不会成为浏览器历史的一部分。因此，POST和GET是同样安全的。
服务器端日志:通过使用写入数据屏蔽和访问日志格式，可以隐藏所有或仅从request-URL中隐藏敏感数据。
浏览器控制台中的数据可见性:对于怀有恶意的人来说，查看POST数据和查看GET数据几乎是一样的。
因此，通过正确的日志记录实践，GET API与POST API一样安全。在所有地方都使用POST，会强制执行糟糕的API定义，应该避免。
你也应该意识到，如果你的网站包含链接到其他外部网站，你不控制使用GET将把数据放在外部网站的引用头，当他们按下你的网站上的链接。因此，通过GET方法传输登录数据总是一个大问题。因为这可能会暴露登录凭据，以便通过检查日志或查看谷歌分析(或类似)轻松访问。
修改POST请求更加困难(它需要比编辑查询字符串更多的努力)。编辑:换句话说，它只是通过模糊来保证安全，而且几乎不是这样。
区别在于GET发送数据是开放的，而POST是隐藏的(在http-header中)。
所以get更适合于不安全的数据，比如谷歌中的查询字符串。Auth-data永远不会通过GET发送，所以在这里使用POST。当然，整个主题有点复杂。如果你想阅读更多，请阅读这篇文章(德语)。
许多人采用一种约定(Ross提到过)，即GET请求只检索数据，不修改服务器上的任何数据，而POST请求用于所有数据修改。虽然其中一种并不比另一种更安全，但如果你遵循这个约定，你可以应用横切安全逻辑(例如，只有拥有帐户的人才可以修改数据，因此未经身份验证的post将被拒绝)。
