Spring框架中@RequestParam与@RequestBody哪个安全性更高？

嘿，这个问题问到点子上了——在后端处理请求参数时，安全性细节很容易被忽略，但恰恰是这些细节决定了你的接口会不会踩坑。我来给你拆解下@PostMapping搭配这两个注解时，在安全层面的核心差异：

一、@RequestParam 的安全特性及风险 #

@RequestParam的参数要么放在URL的查询字符串（比如/api/user?userId=123&token=abc），要么在x-www-form-urlencoded类型的表单数据里。它的安全风险主要集中在：

• 敏感数据易暴露：查询字符串会被服务器日志、浏览器历史记录、代理服务器日志明文记录下来。哪怕是POST请求，只要参数在查询串里，这些日志都会留下痕迹——如果传递的是密码、用户令牌这类敏感数据，等于直接把机密信息摆在明面上。
• CSRF攻击风险更高：如果是表单提交的@RequestParam参数，攻击者可以通过构造恶意表单（甚至跨域表单）来发起CSRF攻击，因为浏览器默认会自动携带表单数据提交请求。你必须额外配置CSRF令牌防护才能降低这个风险。

二、@RequestBody 的安全优势 #

@RequestBody把数据放在请求体中，通常用JSON格式传输，它的安全优势明显：

• 敏感数据更隐蔽：请求体不会被记录到URL相关的日志里，只要你用了HTTPS，请求体内容会被加密传输，就算日志里能看到请求路径，也看不到具体的参数内容，极大降低了敏感数据泄露的概率。
• CSRF攻击难度更大：浏览器默认不会自动构造带JSON请求体的POST请求，跨域情况下更是会被CORS策略拦截。同域下的CSRF攻击虽然理论上可行，但需要攻击者注入恶意JS代码，门槛比表单提交的CSRF高很多。
• 数据结构更安全：JSON格式的请求体可以更容易地做校验和序列化控制，比如通过校验字段类型、长度来防止注入类攻击，而@RequestParam的简单键值对格式相对更容易被篡改试探。

三、二者的共同安全前提 #

不管你用哪种方式，HTTPS是绝对的基础——没有HTTPS的话，不管参数在URL还是请求体，都可能被中间人劫持窃取。另外，参数校验（比如合法性、长度、格式）对二者来说都是必要的，防止SQL注入、XSS等攻击。

实战建议 #

• 敏感数据（密码、身份令牌、用户隐私信息）必须用@RequestBody传递，绝对禁止用@RequestParam。
• 非敏感的少量参数（比如分页页码、简单筛选条件）用@RequestParam完全没问题，但别往里面塞任何敏感内容。
• 如果用@RequestParam处理表单提交，一定要开启CSRF防护；用@RequestBody的JSON请求，虽然CSRF风险低，但也不能完全掉以轻心，尤其是同域场景下。

内容的提问来源于stack exchange，提问作者Nabin Kumar Khatiwada