安全性:通过URL强制执行GET请求？

Question

如果我要创建一个以下列方式处理登录的应用程序,我应该关注什么:

http://api.myApp.example/printSomething/username/password/

与基于POSTed用户详细信息(用户名+密码)的普通登录页面相比,它有多不安全？有区别吗？

谢谢

Answer 1

根本不要那样做.使用POST方法代替.您永远不应该在URL中允许敏感信息.

Answer 2

不同之处在于密码在地址栏中可见,并且用户从您的站点进入的任何站点都可以在REFERER标头中看到用户的密码.