В чем разница при шифровании данных GET и POST?
Чтобы быть более конкретным: когда https-SSL шифрует оба этих метода, в чем разница в том, как браузер это делает; Какие части зашифрованы, а какие нет?
Я где-то читал, что целевой URL-адрес не зашифрован в POST, это правда? Если это правда и то же самое в GET, где все параметры?
Если оба метода зашифрованы одними и теми же данными, выглядят ли они одинаково при прослушивании? Какие части зашифрованы, а какие нет?
Данные GET добавляются к URL в виде строки запроса:
https://example.com/index.html?user=admin&password=whoops
Поскольку данные добавляются к URL-адресу, существует жесткое ограничение на объем данных, которые вы можете передать. У разных браузеров разные ограничения, но у вас начнутся проблемы с отметкой 1–2 КБ.
Данные POST включены в тело HTTP-запроса и не отображаются в URL-адресе. Таким образом, нет ограничений на объем данных, которые вы можете передать через POST.
Если HTTP-соединение использует SSL / TLS, тогда параметры GET также зашифрованы, но могут отображаться в других местах, таких как журналы веб-сервера, и будут доступны для плагинов браузера и, возможно, других приложений. Данные POST зашифрованы и никаким другим образом не утекают.
Данные, содержащиеся в URL-запросе по HTTPS-соединению, зашифрованы. Однако включение таких конфиденциальных данных, как пароль, в запрос GET - очень плохая практика. Хотя их нельзя перехватить, данные будут регистрироваться в журналах открытого текста на принимающем HTTPS-сервере и, вполне возможно, также в истории браузера. Вероятно, он также доступен для плагинов браузера и, возможно, даже для других приложений на клиентском компьютере.
Всегда используйте POST через HTTPS, если хотите безопасно передавать информацию.
Если вы используете библиотеку шифрования для шифрования данных, вы можете использовать GET или POST, но это будет дополнительной проблемой, и вы можете неправильно настроить шифрование, поэтому я бы по-прежнему рекомендовал использовать POST через HTTPS, вместо того, чтобы настраивать собственное шифрование. Эта проблема уже решена, не изобретайте велосипед заново.
Другой вариант, который вы можете рассмотреть, - использовать безопасный файл cookie. Файл cookie с установленным флагом безопасности пересылается только по защищенному каналу, например HTTPS, и его нельзя перехватить. Это хороший способ безопасного хранения информации, например идентификатора сеанса.
Разница в том, что зашифрованный параметр, отправленный с помощью команды GET, будет виден в адресной строке, а параметр, отправленный с помощью команды POST, не будет (конечно, это не означает, что пользователь не может увидеть зашифрованное значение). Другое отличие заключается в разрешенной максимальной длине: запросы GET ограничены, поскольку URL-адреса ограничены в браузерах. Третье отличие: запросы GET регистрируются на промежуточных веб-серверах, которые они передают (сеть, прокси, ...), поэтому, если вы используете GET через Интернет, ваш зашифрованный параметр обязательно будет зарегистрирован на многих машинах, прежде чем он попадет на ваш веб-сервер.
При выполнении запроса HTTPS GET параметры строки запроса ЗАШИФРОВАНЫ! Единственное, что не шифруется в запросе HTTPS, - это имя сервера или IP-адрес и порт запроса. Это единственные две части информации, необходимые для направления запроса от вашего браузера на веб-сервер, который затем выполняет расшифровку.
Воспользуйтесь Fiddler (с отключенным расшифровкой SSL) и посмотрите на свой трафик на безопасном сайте. Вы увидите, что вы не можете просматривать незашифрованные данные строки запроса или даже информацию о пути.
POST может отправлять больше данных, чем GET
GET проще для злоумышленников манипулировать данными
GET не зашифрован
POST не зашифрован
Это может помочь, если вы визуализируете HTTP-запрос:
GET /page.php?get-data-here HTTP/1.1
Host: www.site.com
post-data-here
Все это зашифровано, когда вы используете HTTPS.
