MVC数据检索最佳实践：POST使用与令牌处理疑问

你的路由代码 #

app.post('/metrics/service/:serviceId', async (req, res) => {
        target = req.query.target;
        errors = [];
        if (!target) {
            res.render('metrics', {error: 'Please select a target to get the metrics from'});
        }else{
            await MetricsService.getServiceDetails(req.params.serviceId, target, req.body.token).then((data) => {
                const mermaid_diagram = MetricsService.getMermaidServiceDiagram(data);
                res.render('metrics_service_details', {target: target, mermaid_diagram, data, cnt: 0, errors: errors})
            }).catch((error) => {
                res.status(500).send('Error: ' + error);
            }); 
        }
    });

你的疑问及最佳实践解答 #

1. 使用POST进行数据检索是否为最佳实践？是否应改为GET方法？

• 从RESTful设计规范来说，GET才是用于数据检索的标准方法，POST的语义是创建资源，用POST做检索属于语义不符。
• 实际场景中，GET的优势很明显：浏览器可以缓存GET请求结果、用户可以将页面URL添加书签/分享、刷新页面不会触发重复提交提示；而POST请求无法被缓存，也不能通过书签保存状态。
• 例外情况：如果检索参数包含敏感信息，或者参数长度超出URL限制（不同浏览器/服务器上限一般为2KB-8KB），可以考虑用POST。但你的场景里target和serviceId都不属于敏感内容，建议改成GET。

2. 若改为GET方法，令牌放在URL中存在安全隐患，更安全的传递方式是什么？是否推荐通过请求头传递令牌？

• URL传递令牌确实存在严重安全问题：令牌会出现在浏览器历史记录、服务器日志、书签分享链接中，极易泄露。
• 最推荐的方式是通过请求头传递令牌，比如使用标准的Authorization头，格式为Bearer <你的令牌内容>。这种方式不会暴露在URL里，也符合HTTP规范。
• 如果是用户会话令牌（比如登录后的会话ID），也可以用带HttpOnly、Secure标记的Cookie传递，这种方式能防止XSS攻击窃取令牌，安全性更高。

3. 当前混合使用URL参数（serviceId）、查询参数（target）和请求体令牌的方式是否可行？是否需要调整以保持一致性？

• 这种混合方式技术上可行，但从语义一致性角度可以优化：
  • URL参数（serviceId）：用于标识唯一资源（特定服务），这个设计符合RESTful中路径对应资源的原则，是合理的。
  • 查询参数（target）：用于指定检索的过滤条件，属于标准用法，没问题。
  • 请求体令牌：如果用POST，放在请求体里是可行的，但如果改成GET，必须移到请求头——因为GET请求不应该携带请求体，虽然技术上支持，但不符合规范，部分服务器/代理可能会忽略GET请求体。
• 调整建议：如果改成GET，将令牌移到Authorization请求头；如果保留POST，令牌可以继续放在请求体，或者也移到请求头以保持参数传递的一致性（所有非资源标识的参数，敏感的放请求头，非敏感的放查询参数）。

内容的提问来源于stack exchange，提问作者noMoreBeans