Все, что вы передадите без использования POST
, будет видно в строке запроса.Вот как это работает.Если вы не можете или не хотите переключаться на POST
, лучше всего сократить объем данных, передаваемых вами через строку запроса, до абсолютного минимума (возможно, только идентификатора клиента) и заставить контроллер извлекать все остальное.Помните, однако, что вам все равно нужно проверить ввод.
Скрытые поля (которые работают только на формах) также будут видны в строке запроса, если форма передает данные, используя GET
вместо POST
вынет смысла использовать их в вашем случае.
Другой альтернативой может быть передача данных обратно в контроллер с помощью Ajax, но данные все равно будут видны в консоли браузера, поэтому с точки зрения безопасности (или неясности) реального выигрыша не будет.