REST API中能否将主机名/IP作为GET请求查询参数？有何安全风险？

能否用查询参数传递？ #

可以。HTTP协议本身允许将主机名或IP地址作为GET请求的查询参数传递，比如格式可以是 http://localhost:3000/?ip=192.167.1.2，这种写法合法合规。

存在哪些安全风险？ #

• 服务器端请求伪造（SSRF）：如果后端不对输入的IP/主机名做严格校验，攻击者可以构造内部私有IP、受限域名，诱导服务器发起未授权请求，进而访问内网敏感资源或服务。
• 日志泄露风险：GET请求的查询参数通常会被服务器、代理的日志记录，若涉及内部私有IP等敏感信息，可能通过日志泄露给未授权人员。
• 缓存与历史记录泄露：查询参数会被浏览器历史记录、CDN等缓存留存，若目标地址属于敏感内容，可能造成信息泄露。

关于GET请求体的补充 #

不要将IP地址放在GET请求的请求体中。虽然HTTP规范没有完全禁止GET携带请求体，但绝大多数HTTP客户端、服务器、代理对这种场景的支持不一致，且违背了GET请求“获取资源”的语义（请求体通常不被视为GET请求的核心参数），会引发兼容性问题，属于不良设计。

内容的提问来源于stack exchange，提问作者Sumukh Bhat