将JWT放入HTTPS GET请求中是否安全？

其实你这个判断完全正确——在HTTPS加密的连接里，把JWT放在URL里传递，泄露风险并不比用POST请求带JWT更高。

先给你掰扯清楚为什么：HTTPS是端到端加密整个请求链路的，不管是URL里的参数、请求头，还是POST的请求体，传输过程中都是加密状态，中间的代理、路由器这些节点根本看不到明文内容。这就从根上抹平了两种传递方式在传输阶段的安全差异。

而且我非常赞同你说的，对JWT本身的严格限制才是关键：

• 一定要设短过期时间，就算JWT真的泄露了，坏人能用的时间也极短
• 尽量搞单用途JWT，比如每次请求生成新的，用过就作废，避免被重复利用
• 配置好aud（受众）、iss（发行人）这些声明，把JWT的使用范围锁死在你的业务场景里

至于你说的只能用URL传JWT的场景，真不用太担心。很多人觉得URL参数容易泄露，但实际情况是：

• 浏览器历史记录存URL是客户端本地的风险，POST请求的参数如果不小心被打到前端控制台日志、或者服务器访问日志里，同样会有本地泄露的问题
• 服务器日志如果没做脱敏，不管是URL里的JWT还是POST体里的JWT，都会被记录下来——这锅得运维的日志配置背，和请求方式没关系

所以结论就是：只要全程用HTTPS，再把JWT的安全规则拉满，URL传JWT完全没问题，所谓POST请求的安全优势，在HTTPS环境下根本不存在。

内容的提问来源于Stack Exchange，提问作者Greg Gum