最近面试的几个同学,问他们GET POST区别,居然给我来一套一套的。网上我就查了查,我草,越看越特么气人。一群人总是抄来抄去。
错误1:GET 安全性低 POST 安全性高
我日了,你F12看过吗, GET 是URL中传值,POST 是body传值。body 中还给你完美格式化了呢。post 打开控制面板看的更清楚,form data还给你排版了呢。
通过GET提交的数据会被浏览器缓存起来,其他人看历史记录的时候可以看到你提交的具体内容。post不会。
GET 提交数据可能会造成CSRF攻击,所以才说它是不安全的。因为 HTTP 在网络上是明文传输的,只要在网络节点上捉包,就能完整地获取数据报文,要想安全传输,就只有加密,也就是 HTTPS。
错误2:GET 传输数据有限制不能大于2KB POST 一般不限制
我特奶奶的,哪里明文规定这个了?人家只是说了没有限制
看这里:https://www.ietf.org/rfc/rfc2616.txt
The HTTP protocol does not place any a priori limit on the length of a URI. Servers MUST be able to handle the URI of any resource they serve, and SHOULD be able to handle URIs of unbounded length if they provide GET-based forms that could generate such URIs. A server SHOULD return 414 (Request-URI Too Long) status if a URI is longer than the server can handle (see section 10.4.15).
HTTP 协议没有 Body 和 URL 的长度限制,对 URL 限制的大多是浏览器和服务器的原因。浏览器原因就不说了,服务器是因为处理长 URL 要消耗比较多的资源,为了性能和安全(防止恶意构造长 URL 来攻击)考虑,会给 URL 长度加限制。
下面就是对各种浏览器和服务器的最大处理能力做一些说明:
浏览器 | URL 限制字符 |
---|---|
IE | 2083个字节 |
Firefox | 65536个字节 |
Safari | 80000个字节 |
Opera | 190000个字节 |
8182个字节 | |
360极速浏览器 | 2118字节 |
Apache | 8,192个字节 |
IIS | 16,384个字节 |
错误3:get是获取数据的,而post是提交数据的
get替换post来优化网站性能,虽然这种说法没错,也的确get常被用于取回数据,但是post也被一些ui框架使用于取回数据,比如kendo ui中的grid,就是用post来接受数据的。所以结论是get、post用途也是因地制宜。如果你有使用过kendo UI,会发现分页、过滤、自定义的参数都包含在form data里面。
只是它们的语义不同而已,各有各的,就好比汤勺就是喝汤用的,当然你用它炒菜也是可以的,只是有点别扭,而且是不是有点二二的感觉,哈哈哈。
注:HTTP请求,最初设定了八种方法。这八种方法本质上没有任何区别。只是让请求,更加有语义而已。
请求 | 描述 |
---|---|
OPTIONS | 返回服务器所支持的请求方法 |
GET | 向服务器获取指定资源 |
HEAD | 与GET一致,只不过响应体不返回,只返回响应头 |
POST | 向服务器提交数据,数据放在请求体里 |
PUT | 与POST相似,只是具有幂等特性,一般用于更新 |
DELETE | 删除服务器指定资源 |
TRACE | 回显服务器端收到的请求,测试的时候会用到这个 |
CONNECT | 预留,暂无使用 |
GET 用于获取信息,是无副作用的,是幂等的,且可缓存, 而POST 用于修改服务器上的数据,有副作用,非幂等,不可缓存。
当然,GET和POST本质上并没有什么区别,GET和POST是就是HTTP协议中的两种发送请求的方法。
HTTP是什么?HTTP是基于TCP/IP的关于数据如何在万维网中如何通信的协议。是一种网络应用层协议,HTTP的底层是TCP/IP。所以GET和POST的底层也是TCP/IP,也就是说,GET/POST都是TCP链接。GET和POST能做的事情是一样一样的。你要给GET加上 request body,给POST带上url 参数,技术上是完全行的通的。
错误4:GET产生一个TCP数据包;POST产生两个TCP数据包。
实际上,不论哪一种浏览器,在发送 POST 的时候都没有带 Expect 头,server 也自然不会发 100 continue。通过抓包发现,尽管会分两次,body 就是紧随在 header 后面发送的,根本不存在『等待服务器响应』这一说。
get是querystring(仅支持urlencode编码),post是放在body(支持多种编码)
query是URL的一部分,而GET、POST等是请求方法的一种,怎么混为一谈了,不管是哪种请求方法,都必须有URL,而URL的query是可选的,可有可无。