Есть ли разница в безопасности между использованием параметров URL и тела запроса?

Question

Я хотел бы проверить, существуют ли какие-либо различия в уязвимостях между отправкой данных через параметры (например, www.website.com?name=example по сравнению с отправкой данных с использованием тела запроса (например, с использованием JSON: {name: example}). Я знаю, что отправка данных с использованиемПараметры URL имеют проблемы с безопасностью, когда они выполняются через браузер, но в моем случае мне интересно, чтобы данные автоматически отправлялись из одной системы в другую без какого-либо взаимодействия между браузером и человеком.

Answer 1

Большая часть различий между отправкой данных в URL и заголовком / телом запроса заключается в том, что что-то регистрируется (другая проблема связана с тем, что данные кэшируются / сохраняются в браузере, но это не проблема для вас).

Таким образом, наиболее очевидная проблема с URL-адресом заключается в том, что любой промежуточный прокси-сервер (включая балансировщики нагрузки, wafs, кто знает, что именно) регистрирует параметры URL-адреса, и в большинстве случаев целевой сервер также будет регистрировать.Злоумышленник может получить доступ к таким журналам, раскрывая потенциально конфиденциальную информацию.Это могут быть не только внешние злоумышленники, думающие о людях, вовлеченных в операции, но и не реальные пользователи приложения - это иногда имеет большое значение.Также логи будут копироваться в резервные копии и так далее.Поэтому не рекомендуется отправлять конфиденциальную информацию в URL-адресах в целом .

Сказав это, я могу представить сценарии и компенсирующие элементы управления, которые позволили бы отправлять конфиденциальную информацию в URL-адресе приемлемо вконкретный случай, но вы должны тщательно продумать свою модель угрозы.Не использовать браузер в качестве клиента - хорошее начало, но далеко не достаточно.