Безопасность: перебор GET-запросов по URL?

Question

что должно беспокоить меня, если я собираюсь создать приложение, которое обрабатывает входы в систему следующим образом:

http://api.myApp.example/printSomething/username/password/

Насколько небезопасно это по сравнению с обычной страницей входа, основанной на пользователе POSTedдетали (имя пользователя + пароль)?Есть ли разница?

Спасибо

Answer 1

Просто не делайте этого. Вместо этого используйте метод POST. Вы никогда не должны разрешать конфиденциальную информацию в URL.

Answer 2

Разница в том, что пароль виден в адресной строке и что любой сайт, на который пользователь заходит с вашего сайта, может видеть пароль пользователя в заголовке REFERER.

Answer 3

На самом деле, в этом нет особой разницы, просто злоумышленнику проще сделать один шаг.

НО: URL-адреса очень часто сохраняются в истории браузера., журналы и т. д., это означает, что любой, кто имеет доступ к браузеру (или имеет доступ к URL), сможет увидеть имя пользователя и пароль в виде открытого текста.

Обновление:

Что касается названия вопроса и уточнения моего ответа:

Оба запроса GET и POST могут быть легко использованы для проведения атаки методом перебора.Используя GET, злоумышленнику будет проще сделать это вручную, но чаще всего это автоматические атаки, то есть приложение, выполняющее эти запросы, и, следовательно, используемый метод HTTP совершенно не имеет значения.

Вы никогда не сможете предотвратить жестокие атаки, выбрав один метод HTTP вместо другого.
Такие действия необходимо выполнять на стороне сервера, например, ограничивая количество обращений в минуту с одного IP.