http - 在 GET 请求中发送用户电子邮件是否安全？

Question

我想从应用程序后端检索数据。为此，我必须通过来自前端网站的 API 请求发送用户的电子邮件。

在 GET 请求或 POST 请求中发送用户电子邮件是好的做法吗？更具体地说，因为您不想让其他第三方看到它，所以不将用户电子邮件作为 URL 参数包含在内是一种好习惯吗？

谢谢

Answer 1

您绝对希望使用POST 请求而不是GET 请求来查询电子邮件地址，因为GET 请求应该绝不用于发送敏感信息。

考虑到这一点，您还必须首先考虑要对端点执行的操作。如果您只是请求有关电子邮件地址的公共(public) 信息(例如解析服务器名称或 IP)，那么 GET 请求可能就足够了。

请记住，您不能通过 GET 请求传递任何授权 header ，因此如果您要查询相关电子邮件地址是否在您的网站上注册了帐户，任何人 将能够通过垃圾邮件请求找到您用户的电子邮件地址，直到他们收到 200 响应(从而验证注册电子邮件)。并且知道有效用户的电子邮件地址可以作为后期的攻击媒介。

简而言之，您很可能需要POST。仅当您纯粹查询有关电子邮件托管域的信息时才使用 GET。