概要

理解の確認として、振り返りもかねてGET、POSTの使い分けをまとめる

GET・POST使い分け

参照の場合

GET メソッドは、［現在の，ターゲットリソース用に選定される表現］を転送するよう要請する。 GET は、情報を検索取得する主たる仕組みであり，ほぼすべての処理能最適化の力点が置かれる所である。 よって、誰かが［ HTTP を介して識別できる何らかの情報を検索取得する］ことについて話すとき，たいていは GET 要請を為すことを指している。

GETメソッドは、参照のみに用いる
GETメソッドは副作用がないことが期待される

秘密情報の場合

9.4. URI 内の敏感な情報の開示
URI は、セキュアなリソースを識別するものであっても，［共有され, セキュア化されないもの］になるように意図されている。 URI は、［ディスプレイに示される／ページの印刷時に各用紙に刷られる／様々な未保護なブックマークリスト内に格納される］ことが多い。 したがって，［敏感な／個人識別可能な／開示されるリスクがある］情報を URI に内包することは、賢明でない。
サービスの作者は、［ GET に基づくフォームによる，敏感なデータの提出］は避けるべき.である — 何故なら、そのデータは， request-target 内に置かれることになるので。多くの既存の［サーバ／プロキシ／UA ］は、 request-target を［第三者主体から可視になり得る所］に，ログしたり, 表示する。 そのようなサービスは、代わりに POST に基づくフォームによる提出を利用するべき.である。
Referer ヘッダは，要請を生じさせた文脈についてターゲットサイトに伝えるので、［参照元リソースの URI ］内に見出され得るような［利用者の直前の閲覧履歴についての情報, その他の個人情報］を露わにする可能性がある。 Referer ヘッダに対する制限は、その定義に述べたように，そのセキュリティの考慮点の一部に取り組む。

秘密情報の送信にはPOSTメソッドを用いる
- リソースの取得以外の動作、追加・更新・削除などの作用がないことを示している。
Refererヘッダやrequest-targetヘッダに置くことで、第三者から見ることができてしまう

送信すべきデータ量が多い場合

ブラウザ上の制限があるため、多い場合はPOSTを利用する

まとめ

データを参照するものはGETを利用する
参照以外のことを行う場合は、POSTやDELETEなど別のメソッドを利用する
第三者に公開していけない情報が含まれる場合は、POSTを利用する
データが多い場合も、POSTを利用する

参考図書

体系的に学ぶ安全なWebアプリケーションの作り方第2版脆弱性が生まれる原理と対策の実践単行本 – 2018/6/21

参考web

まとめ

基本的に問題なく利用していたが、体系的に学ぶ安全なWebアプリケーションの作り方第2版脆弱性が生まれる原理と対策の実践単行本 – 2018/6/21を利用して学習していく中で、基礎の部分をさらうべきであると考えまとめた。
データ量に関しては知らなかったため、早めに学ぶことができてよかったと思う。