이런경우 GET보다 POST를 사용해야하나요?

Question

제가 운영중인 서비스에서아래와 같이 GET메서드를 통해서 조합 결과 리스트, 특정 조합 누르면 detail API가 호출되었습니다. 근데 어떤분이 말씀하시길 이러면 탈취 위험이 있다고 하셨습니다. POST로 바꾸는것만으로도 괜찮아진다고 하셨는데 파라미터에 보이지 않기때문일까요?POST 요청 본문도 콘솔을 통해 볼 수는 있지만 GET에 비해 악용될 가능성이 낮아져서 그럴까요?

잠자는사자 · Answer

전혀 아닌 헛소리입니다. 어짜피 볼라면 다 똑같이 보입니다.마치 복사방지라고 자바스크립트 넣어놔도 어짜피 복사 다 가능한거랑 같은 뻘짓 입니다.문제는 GET이 여야 캐시가 잘 되는데 POST면 캐시부분도 문제 생기고 사용자도 매우 불편한 최악의 결과를 맞습니다.

오후 · Answer

무조건 조회는 GET or 보안 때문에 전부 POST로 해야 된다는 없고 내부기준에 따라 작업 하시면 됩니다.

RWB · Answer

실무에서 조회할 때 POST를 많이 사용하나요? | OKKY Q&A여기 비슷한 주제에서 제가 남긴 댓글을 별첨드립니다.웹에 올라가서 우리가 볼 수 있는 정보라면, 어떤식으로든 볼 수 있습니다.댓글에도 언급 했듯이, GET이라서 위험한 것도 아니고, POST니까 URL에 보이지 않는 다는 이유로 안전하고의 문제가 아닙니다.Fiddler, Proxyman 같은 HTTP 프록싱 프로그램 이전에 F12만 눌러도 다 확인이 가능한 것들입니다.단순히 POST가 더 안전하다는 주장은, 내 방에 쓰레기 대충 몰아넣은 뒤에 문 닫고 "내 눈에 안 보이니 청소 끝"이라고 주장하는 것이나 다를 바가 없습니다. 그냥 눈 가리고 아웅이에요.별첨드린 댓글에서 하나만 알고 둘은 모르는 얘기라고 말한 이유기도 하구요.웹은 브라우저를 통해 모든 정보가 클라이언트에게 제공되는 방식입니다. 즉, 서두에 언급했듯이 웹에 올라온 모든 것들은 언제나 탈취 가능성을 전제해야합니다.메서드 변경할 시간에 API 요청 검증, 토큰 탈취 및 인증 문제를 신경쓰는 것이 더 범용적이고 올바른 방향입니다.

개나소나고생 · Answer

무슨의미가 있는지.어차피..패킷 캡처 뭐든..됩니다.

더미 · Answer

의미는 없는데해달라는 대로 해주세요

캐티 · Answer

피싱에 걸리면 답이 없어서 앵간하면 이케 하지 말아요.

동도인 · Answer

https://velog.io/@hyeewooon/http-https설명은 다른분들이 다 해주셨으니 추가로 http 하고 https 에서 패킷 분석 툴에서 보이는 방식에 대해 알아두시는게 좋습니다.왜 https 를 적용해야 하는지

임시저장보관소 · Answer

로깅에 남아서 그런거 같은데요...보안감사에서 지적하는 곳들 있어요ㅠ

dong bang · Answer

음 조언 해주신분에게 반론은 아니지만 get은 탈취 해도 괜찮을 수준으로 보안 코딩 하시면 됩니다.어디서든 접근 하라고 get 인데 탈취 위험 때문에 post 쓰는건 get에 취지랑 맞지가 않습니다.해당 api 성격을 보시고 보안 코딩(특정 사용자만 접근 또는 스로틀링 등) 처리에 중심을 두면 됩니다.결론1. 어디서나 접근 가능 하게2. 아무나 접근 못하게코딩 하시면 됩니다.그러나 예외가 있습니다.인터넷상 get은 브라우저에 캐싱이 남기 때문에 캐싱을 남기고 싶지 않으시면 post 를 사용 해야 합니다.물론 브라우저에 캐싱 하지 말라고 헤더를 담으면 또 안 합니다.최종 결론정답이 없다 ....

HJOW · Answer

여기서 핵심은, 저 파라미터가 "기밀에 해당이 되는지" 인 것 같습니다.비밀로 할 필요가 없는, 단순 검색조건 같은 데이터로 되어 있다면, GET 을 쓰는 것이 맞습니다.모든 정보를 무조건 숨긴다고 보안이 좋아지는 게 아닙니다.

불혹자바 · Answer

Get 방식이 브라우저 히스토리나 referer 헤더등에 남을 수 있기 때문에querystring 전달되는 파라미터들이 민감 정보라면 주의해야 될 것 같습니다.그렇다고 Post 를 쓴다고 안전한 건 아니겠죠파라미터 값들을 민감 정보로 전달하는 게 자체가 문제 겠죠?결국 민감정보가 전달되는게 아니라면 그냥 GET 쓰셔도 됩니다.

카스마당 · Answer

GET 경우 POST에 비해 전송되는 데이터 길이 제한, 캐싱 등 문제도 있고가장 중요한 것은 말씀처럼 GET 넘길 때 보안 정책에 문제 되긴 합니다.사용자가 아무 짓도 하지 않았어도 주소창에서 보이는 것과는 많이 차이가 있거든요.(보안 점검 시 GET은 보안정책 위반으로 지적 받더라고요.)정보신기술 도입 보안관리 실무가이드 문서에 ● 중요 정보 전송 시 POST Method 및 SSL을 적용하고 있는가? 항목이 있습니다.https://kurukurucoding.tistory.com/119https://ko.eitca.org/web-development/eitc-wd-pmsf-php-and-mysql-fundamentals/forms-in-php/working-withs-forms-in-php/examination-review-working-withs-forms-in-php/why-is-the-post-method-considered-more-secure-than-the-get-method/

개발잡부 · Answer

POST가 GET보다 보안이 좋다는건 진짜 20~30년전 얘기입니다.

chaha · Answer

다들 자세한 답변 감사합니다. 일단 GET으로 유지하고 크롤링 같은 경우를 방지하기 위해 rate limit을 걸어놓는 방향으로 생각이드네요

이런경우 GET보다 POST를 사용해야하나요?

14개의 답변

#restapi 목록