
我通常这样设置问题: 请求后有什么重要的变化吗? (尽管有日志记录等)。如果是,则应该是POST请求,如果不是,则应该是GET请求。
我很高兴您将POST请求称为“稍微”更安全,因为这几乎就是它们。伪造用户对页面的POST请求很简单。但是,将其设为POST请求可以防止Web加速或重新加载意外触发 *** 作。
作为AJAX,还有一个考虑因素:如果您要返回具有回调支持的JSON,请务必不要将您不希望其他网站看到的任何敏感数据放入其中。维基百科在这些方面存在漏洞,其中用户反CSRF令牌是通过其JSON
API泄露的。
欢迎分享,转载请注明来源:内存溢出
微信扫一扫
支付宝扫一扫
评论列表(0条)