php - 为什么不应该使用 GET 提交表单

Question

我有一个要使用 GET 提交的表单，这意味着数据会附加到 URL 中。该表单使用安全 token 进行保护。

我总是被告知表单应该通过 POST 提交。就我而言，如果使用 GET 提交表单会发生什么情况？那里有什么安全风险？

Answer 1

真正的风险是用户能够准确地看到提交给您的服务器的参数，并且不仅可以将该 URL 添加为书签(以重新提交)，还可以修改该 URL 以向您的服务器提交其他可能无意义的参数旁白。

在某些情况下这是可取的(例如 Google 使用 GET 以便可以为搜索添加书签)，在其他情况下这会带来风险(例如登录表单)。

在您自己的情况下，这取决于“安全 token ”的性质，以及如果该 token 对您的站点/应用程序的用户可见(和可修改)的潜在危害。不过，值得注意的是，这在提交页面的 html 源代码中也是可见的，即使您使用 POST 提交表单也是如此。

根据服务器端脚本接收到的数据发生的情况，您还应该清理提交的信息，以减少 SQL 注入(inject)的范围，等等(+1 到 @Switz)。