실무에서 조회할 때 POST를 많이 사용하나요?

Question

최근에 신입 면접에서 "POST로 조회가 가능한가요?"라는 질문을 받았습니다.자세히는 몰라서 가능은 하지만 rest api 규약에는 어긋나서 사용은 안할 것 같다라고 답을 했는데 면접관님이 실무에서는 GET을 사용 안하고 조회할 때는 대부분 POST를 사용한다고 하시더라구요.POST의 경우, 값을 바디에 넣어서 요청을 하기 때문에 비교적 안전하며 추가로 https까지 적용하면 매우 안전해진다고 피드백을 주셨는데 이게 정확한건가요?개인 프로젝트 중인데 이를 반영해볼까 하는데 정확한 사실인지 궁금해서 질문 드립니다.

2948284 · Answer

일반적으로는 안그런다고 보면 되고가끔 조회에 바디데이터수준의 복잡한 조건이 들어갈때를 제외하곤 Get으로 대부분 합니다.비율로 치면 99할?조회성 기능을 !GET을 사용하면Audit도 번거로워지죠보안? Get에 쓰는 쿼리 파라미터는 봐도 되니까 넘기는거라 잘못된 대답이라고 생각하면 됩니다즉 삐빅~근데 모든 기능을 POST로만 만들어도 되긴 해요RESTful 규약에 맞지 않을 뿐 돌아는 가니께~

감독님테스트가하고싶어요 · Answer

보안 신경쓸꺼면 다른쪽에서 챙기는게 맞을거같네요.조회 쿼리까지 POST를 써가면서 REST API 원칙을 깰바에는 말이에요.파라미터가 너무 길어서 바디로 보내야할때가 한번 있었는데 그때를 제외하고는 조회에 POST를 쓴적은 없습니다.결제를 다루는 PG사 API를 뒤져봐도 조회를 POST로 보내라는 곳은 한번도 못봤습니다.

장독깨기 · Answer

https 적용하면 네트웍 상에서 모두 암호화되니까 안전합니다. get 이든 post 든 뭐든요.그니까, post 가 비교적 안전 또는 매우 안전은 근거 없습니다. ㅎ근데, 실제 현업에서 조회를 post 로 하는 경우 있습니다.뭐라 이유를 말하긴 하던데, 뭐라는건지,... ㅎㅎ뭐 암튼, 개인 플젝엔 반영하지 마세요. : )

퓨리오사 · Answer

말씀하신대로 RESTful 하지 않으며, POST가 안전한다는 말은 상대적인 것 같습니다.GET이 URL에 쿼리스트링이 노출되지만 기본적으로 HTTPS를 쓰지 않는다면 바디에 있다고 내용을 못 볼까요?http method로 행위를 구분하지 않을 경우 API 네이밍으로 결국 구분해야하는데 네이밍에 REG, MOD, DEL, READ 등 이런 행위를 사용하는 올드한 방식의 개발이라고 봅니다.

캐티 · Answer

약속을 정하기 나름 .. 예컨데 검색엔진에 반영하려면 GET 방식으로 주소를 보여주어야 하게쩌. 반면에 글쓰기 이런 거는 검색엔진에 보이지 않아야 하여서 POST 방식을 써요. 면접관이 일반적으로 이렇다고 단정하면 혼나야 하게쩌.

하루히즘 · Answer

검색할 때 url에 다 안 들어갈 정도로 길면 post로 해도 되죠

잠자는사자 · Answer

무식한놈이 개소리하네rest api 규약이 괜히 만들어 졌을까?어길때는 어기는 이유가 있어야지(그럴라면 아예 규약을 다시 만드는 쪽으로 해야겠지요)안전?? ㅋㅋㅋ GET은 URL 파라메터 보이니깐 안전 안하고 POST는 URL 파라메터에 안 보이니깐 안전??ㅋㅋㅋㅋ아마 면접관이 질문자보다 실력 안 좋을듯?

아름이름 · Answer

신입이 무슨 규약을 따짐?맞겨만 주시면 get,post,put,delete 쐅가능 합니다라고 해야지 ㅋ

개나소나고생 · Answer

기본 사용하는데요.

Bluebell · Answer

그냥 프론트는 {}형태로 넣고 스프링부트는 Map으로 받기 편하니까 자주 쓴다는 뻘소리가 더 신빙성 있을 듯.

동도인 · Answer

POST는 Body에 데이터를 넣어서 안전하고, GET 방식은 쿼리로 넘겨서 안전하지 않다는 얘기가 왜 나오는 건지 잘 모르겠습니다.HTTPS를 적용하지 않으면, 어차피 둘 다 데이터가 암호화되지 않고 넘어가기 때문에 보안상으로는 똑같이 안전하지 않습니다.굳이 둘의 안전성을 따지자면, 브라우저 캐시나 히스토리에 기록이 남는다는 점 때문에 GET 방식이 좀 더 노출될 여지가 있다는 정도죠.근데 조회 기능에 굳이 비밀번호나 민감한 정보를 넣는 것도 아니고...POST로 조회하는 경우는 보통 요청할 때 필요한 데이터가 많거나 복잡할 때입니다.파라미터가 수십 개씩 되는데 이걸 전부 쿼리로 붙이면, 보는 사람 입장에서 여러모로 불편하거든요.결론적으로, POST든 GET이든 HTTPS 안 쓰면 보안에 취약한 건 매한가지입니다.

HJOW · Answer

사실 안전한 건 맞습니다.근데, 그럼에도 왜 GET방식을 쓰는지를 알아야 합니다.우리가 링크를 만든다고 생각해봅시다.검색어가 입력된채로, 몇 번째 페이지를 바로 띄워야 하는 링크GET 방식이어야 그 링크 주소를 만들수가 있습니다.그리고 이게 된다면, 그 페이지를 북마크할 수도 있고 바탕화면에 바로가기도 만들 수 있습니다.이렇게GET 방식은 매개변수가 보호가 안되는 대신 자율성이 있습니다.사실, 조회 검색어와 페이지 번호 보호해봤자 뭐합니까.게시글 등록하거나 로그인할 때 보내는 정보들이나 보호해야지.

dong bang · Answer

댓글 달기 조심스럽지만, 욕먹을 각오로 적습니다.REST API는 *하드한 규칙이 아닌 '규약(convention)'*입니다.지키면 좋습니다. 여러 클라이언트(브라우저, 툴 등)에서 자동으로 처리해주는 게 유리하니까요.하지만 안 지킨다고 해서 크게 문제는 없습니다. 메서드는 거의 POST로 때우는 경우가 많습니다.그래서 로마에 가면 로마법을 따르듯, 프로젝트/회사마다 스타일에 맞게 유연하게 접근하는 게 좋습니다.예전에는 GET, POST 정도만 쓰다가, Angular나 Ajax 같은 프론트엔드 기술이 등장하면서*프론트와 백엔드가 명확히 분리되는 구조(API 중심 개발)*가 생겨났습니다.그러다 보니 PUT, DELETE 등의 메서드가 POST에서 파생되어 자연스럽게 쓰이기 시작했죠.그리고 REST API는 보통 URL만 봐도 어느 정도 용도를 유추할 수 있어서,문서가 잘 작성되어 있다면(Swagger, Postman 등) 굳이 엄격한 REST 원칙을 따르지 않아도 큰 문제는 없습니다.오히려 REST 원칙을 과하게 고집하는 팀이나 회사는,젊은 꼰대(?)가 많은 곳일 수도 있으니 분위기를 잘 보고 판단하세요.

RWB · Answer

뭐 그렇다면 그런갑다 하겠지만, RESTful 규약은 위배입니다.GET은 데이터를 읽기만 하고, POST와 PUT은 일부 비슷한 동작을 하지만 POST의 경우 멱등성이 없는 등...앞서 다른 분이 언급하셨듯이 규약은 규약일 뿐이라서, 지키진 않아도 상관은 없습니다.GET 쏴서 데이터를 CUD 할 수도 있고, DELETE 쏴서 데이터를 불러오는 짓도 가능합니다.다들 우측통행 하는데 나 혼자 좌측통행한다고 누가 잡아가고 그러진 않듯이, 지키지 않아도 그리 큰 문제는 없는 건 사실입니다.그런데 이게 저희만의 독자적인 규약이 아니고, 국제적인 HTTP Method 규약이라서요..URL Parameter 노출로 위험한 API라면 GET 여부에 관계없이 그냥 위험한 API입니다.혹자는 POST는 body에 담겨가기 때문에 상대적으로 안전하다는 말은 하나만 알고 둘은 모르는 얘기에요.당장 기초적인 Chrome Devtools에서도 Body값 확인이 가능합니다.그냥 눈대중으로 URL로는 안 보이고, 브라우저로 다이렉트 호출 불가능하니 하는 말입니다.즉, 브라우저로 컨트롤이 어려운 Header나 쿠키 검증같은 Validation으로도 얼마든지 API 보안이 가능합니다.GET이든 POST든 상관없이요.메서드에 따라 보안의 유무를 따지는 건 그냥 일차적인 API 검증 보안조차 신경쓰지 않았을 가능성이 높습니다.그냥 그걸 보안이니, 파라미터니 바디니 하며 그럴듯하게 포장할 뿐이죠.RESTful은 규약일뿐이니 지키지 않아도 된다 만다의 문제가 아니라, 수박 겉햝기 식으로 메서드 차이가 보안의 차이로 이어진다는 일차원적인 마인드셋이 문제입니다.하나를 보면 열을 안다고, 높은 확률로 이런 수동적인 마인드셋이 디폴트인 개발환경이 얼마나 최악일지는 굳이 언급하지 않겠습니다.

nippori · Answer

지금 있는곳이 카드결제 돈 다루는곳 프로젝트인데 조회는 다 get 날립니다.

르브론제임스234 · Answer

은행권에서 주로 post 입니다.

icksss · Answer

보안이라는 이름으로.. URL 에 노출 되는게 싫어서.. post 로 처리하는 경우가 많아요.단순하게 생각해 보면.. 틀린말은 아닌것 같은데. 대충 아는 디렉터들이.. 그런 결정을 많이 하죠.실제로 보안을 생각하면 저 행위는 큰 의미는 없죠.

기무다이수루룩 · Answer

보통 보안이 개판인 회사가 REST API 대로 개발하지않고 API 다 POST 로 처리 합니다.

실무에서 조회할 때 POST를 많이 사용하나요?

18개의 답변

Q&A 목록