[解決済み] HTTPSのクエリ文字列は安全ですか？

質問

HTTPSを使用する安全なWebベースのAPIを作成しています。しかし、ユーザーがクエリストリングを使用して設定（パスワードの送信を含む）することを許可した場合、これも安全ですか、それともPOSTを介して行われるように強制すべきですか？

どのように解決するのですか？

はい、そうです。 しかし、機密性の高いデータにGETを使用するのは良くない考えです にはいくつかの理由があります。

• HTTPリファラーの漏洩がほとんど（対象ページ内の外部画像からパスワードが漏洩する可能性がある[1]）。
• パスワードがサーバーログに保存される（これは明らかに悪いことです）
• ブラウザの履歴キャッシュ

したがって、Querystringが安全であっても、Querystringを介して機密データを転送することは推奨されません。

[1] ただし、RFCでは、ブラウザはHTTPSからHTTPにリファラーを送信すべきではないと述べていることに留意する必要があります。しかし、サードパーティのツールバーや、HTTPSサイトからの外部画像やフラッシュが漏れないということではありません。