GET与POST最佳实践

Question

对于我的Web应用程序(PHP/MYSQL),我显示了一个项目列表和每行上的链接以删除该项目.现在,链接是

<a href='item.php?id=3&action=delete'>Delete Item</a>

如果我想使用POST而不是...我该怎么做(这是一个动态生成的列表)？我可以在不使用表单的情况下发送POST数据吗？

或者,对于每件物品,我都必须这样做:

<form action='item.php?id={$item_id}' method='POST'>
    <input type='hidden' name='action' value='delete'>
    <input type='submit' value='delete item'>
</form>

并将提交按钮设置为原始链接？

我不熟悉php CURL或REST,它们有助于解决这个问题吗？

Answer 1

请将POST用于修改数据库中持久状态的任何内容.您不希望抓取工具访问您的删除链接!
阅读万维网架构,第一卷和URI,可寻址性以及 W3C 对HTTP GET和POST的使用.

编辑:有时虽然你需要使用GET.例如,在电子邮件中发送的成员资格激活URL是GET,需要以某种方式修改数据库.

Answer 2

通常,以某种方式修改系统状态的GET请求(如删除项目)并不是一个好主意.

您的表单可能如下所示:

<form action='item.php' method='POST' id='form'>
    <input type='hidden' name='action' value='delete' />
    <input type='hidden' name='id' value='{item_id}' />
    <a href="" onclick="document.getElementById('form').submit(); return false;">Delete item</a>
</form>

Answer 3

您不应该从GET请求中更改数据库中的任何内容(除了记录信息或其他短暂数据).问题是存在各种网络抓取软件,网络加速器,反病毒程序等,它们会对他们找到的每个网址执行GET请求; 您不希望他们在这样做时自动删除项目.GET也容易受到跨站点请求伪造的攻击; 如果攻击者让你的一个用户点击执行不良操作的链接(例如,创建一个重定向到删除URL的tinyurl),那么他们可以欺骗用户使用他们的权限删除某些东西而不会意识到它.

是的,您需要提交一个表单来创建POST请求.另一种选择是使用JavaScript和XMLHttpRequest,但这对禁用JavaScript的用户不起作用.

您还应确保一旦接收了POST请求中的数据,而不是返回新页面以响应该请求,您应该将用户重定向到GET请求访问的页面.这样,如果他们点击重新加载,他们就不会意外地重新发送POST请求,或者在他们的浏览会话中稍后点击他们的后退按钮.