javascript - PassportJS - GET 请求中的登录凭据？

Question

我正在开发一个 RESTful 网络应用程序。我希望通过 POST 请求(请求正文中的用户名和密码)进行用户注册，并通过 进行用户登录>GET 请求(查询中的用户名和密码)。

PassportJS documentation似乎表明 Passport 期望凭据位于请求正文(它解析)中。我不太明白它如何处理 GET 请求，因为它们没有正文(通常情况下，如果我理解正确的话)。

我将如何进行这项工作？这是一个坏主意吗？如果是，是否有 RESTful 替代方案？

Answer 1

是的，这是个坏主意。 GET 请求进入浏览器历史记录和服务器日志文件，在地址栏中可见，可以被代理缓存等。这违反了 HTTP 语义和安全性。只需按照行业最佳实践进行登录，即可节省构建实际应用程序的精力。如果它让您感到疑惑，您可以将登录视为 session 资源的 CREATE 操作，这是根据 REST 通过 POST 请求完成的。