security - 安全问题是否通过 https 有效地使用 GET 请求发送密码？

Question

我们有使用 sapui5 的网页-构建一个spa的框架.浏览器和服务器之间的通信使用https .登录页面的交互如下:

1. 用户通过在浏览器中输入https://myserver.com打开网站
2. 显示了一个登录对话框，其中包含用户名和密码两个表单字段。
3. 输入用户名和密码并按下登录按钮后
4. 使用 GET 将 ajax 请求发送到 URL:https://myusername:myPassword@myserver.com/foo/bar/metadata

根据我的理解，使用 GET 发送敏感数据从来都不是一个好主意。但是这个对HTTPS is the url string secure的回答说了以下内容

HTTPS Establishes an underlying SSL conenction before any HTTP data is
transferred. This ensures that all URL data (with the exception of
hostname, which is used to establish the connection) is carried solely
within this encrypted connection and is protected from
man-in-the-middle attacks in the same way that any HTTPS data is.

同一主题中的另一个答案:

These fields [for example form field, query strings] are stripped off
of the URL when creating the routing information in the https packaging 
process by the browser and are included in the encrypted data block.

The page data (form, text, and query string) are passed in the
encrypted block after the encryption methods are determined and the
handshake completes.

但使用 get 似乎仍然存在安全问题:

• > the URL is stored in the logs on the server并在同一个线程中
• > leakage through browser history

像这样的 URL 是否属于这种情况？

    https://myusername:myPassword@myserver.com/foo/bar/metadata
    // or 
    https://myserver.com/?user=myUsername&pass=MyPasswort

关于这个主题的其他问题:

• 是passsing get variables over ssl secure
• 是sending a password in json over https considered secure
• > How to send securely passwords via GET/POST?

在 security.stackexchange 上有额外的信息:

• > can urls be sniffed when using ssl
• > ssl with get and post

但在我看来还有几个方面没有得到解答

问题

在我看来，上述几点是对不使用 get 的有效反对意见。是这样的；使用 get 发送密码是个坏主意吗？

这些是攻击选项，还有更多吗？

• 浏览器历史
• 服务器日志(假设url存储在未加密或加密的日志中)
• referer 信息(如果确实如此)

使用 get 通过 https 发送敏感数据(密码)时存在哪些攻击选项？

谢谢

Answer 1

通过 GET 发送任何类型的敏感数据都是危险的，即使它是 HTTPS。这些数据最终可能会出现在服务器的日志文件中，并将包含在指向其他方的链接或包含在其他方的 Referer header 中。它们还将保存在浏览器的历史记录中，因此攻击者可能会尝试通过对历史记录的攻击来猜测和验证链接的原始内容。

除此之外，您最好在 security.stackexchange.com 上提出此类问题。