需传递一次性验证码查询信息时应使用哪种HTTP方法？

优先选择 POST 方案，该方案完全适配你的业务需求，无需纠结语义契合度问题，原因如下：

• 首先HTTP标准（RFC 7231）中POST的定义并不局限于创建资源，其中明确包含「向目标资源提交数据以完成对应处理」的适用场景，你需要提交一次性验证码完成校验才能返回敏感数据的逻辑，完全符合POST的语义要求。
• GET方案的安全风险无法通过规范配置完全规避：即使你添加了禁止缓存的响应头，也无法保证所有代理节点、中间服务都遵守规则不缓存响应内容；且URL查询参数会明文留存在浏览器历史记录、服务器访问日志、代理日志等多个位置，即使使用HTTPS也无法避免该类泄露风险，对敏感数据访问场景来说是明确的隐患。
• 你提到的GET加自定义认证头的方案完全不匹配你的业务流程：用户通过邮件收到链接直接点击的场景下，普通超链接跳转无法自定义请求头，需要额外的前端逻辑处理，反而会提高复杂度，且没有解决URL参数泄露的核心问题。

如果你希望保留用户「点击邮件链接直接访问内容」的体验，可以对流程做轻量调整，兼顾安全和易用性：

1. 邮件发送的访问链接调整为 GET /information/verify?access_token=xxx，其中access_token是将info_id和one_time_code加密拼接生成的全局唯一字符串，不要在URL中暴露明文的info_id和一次性验证码。
2. 用户点击链接进入中间校验页后，前端自动发起POST请求到/information接口，将access_token放在请求体中提交给后端。
3. 后端解密access_token拿到对应的info_id和一次性验证码，校验通过后返回敏感数据，校验失败直接返回错误。

• 无论选择哪种方案，都在响应头中添加 Cache-Control: no-store, no-cache, must-revalidate, max-age=0 和 Pragma: no-cache，强制所有环节不缓存敏感响应内容。
• 一次性验证码校验成功后立即标记为已失效，避免被重放攻击。

内容的提问来源于stack exchange，提问作者Alvie Mahmud