MVC HttpGet和HttpPost

Question

最近我參加了mvc培訓。培訓師說 - 根據安全考慮，我們必須使用HttpPost而不是HttpGet。始終使用HttpPost。

任何人都可以解釋 - 當我們使用HttpGet時，安全問題是什麼？

Answer 1

當通過安全連接（https）發送數據時，發佈請求的主體被加密且實際上不可讀，您只能看到數據正在發往的地址，而不能看到數據本身。另一方面獲取沒有正文，數據必須以任一查詢字符串或作爲路徑參數傳輸。儘管查詢字符串確實也被加密，但由於服務器和瀏覽器上的請求記錄，可以獲取該數據。

Answer 2

任何人都可以在公共論壇或計算器上插入圖片鏈接到您的網站。然後，接下來發生的：

1. 瀏覽器的外觀，在URL中的圖像標籤
2. 瀏覽器找到對應於域名的URL餅乾
3. 瀏覽器發送請求與用戶Cookie的URL
4. 你的服務器執行行動
5. 瀏覽器嘗試將響應解析爲圖像並且失敗
6. 瀏覽器呈現錯誤而不是圖像

但是，如果您將行爲標記爲Http Post，那麼這種情況不適用於90％的網站。但是你也應該考慮到，如果黑客可以在其他網站上創建一個表單，他仍然可以讓瀏覽器執行請求。所以你需要CSRF。那麼，瀏覽器做了很多事情來防止跨站請求，但在某些情況下仍然可能。