Почему авторизацию нельзя (или нежелательно) делать через GET-запрос?

Авторизация — чувствительная операция, и способ передачи данных здесь критичен.

Что происходит с данными в GET-запросе

При использовании GET:

• данные попадают в URL

• URL сохраняется в истории браузера

• URL может логироваться прокси и серверами

• URL может кэшироваться

Даже при HTTPS шифруется только канал, но не сам факт хранения URL.

Основные риски

1. Утечка данных

   • токены в логах

   • пароли в истории браузера

   • случайный шаринг ссылок

2. Кэширование

   • браузер или CDN может закэшировать запрос

   • повторное использование URL

3. Нарушение семантики HTTP

   • GET должен быть безопасным и идемпотентным

   • авторизация изменяет состояние

Как делают правильно

• использовать POST

• передавать данные в body

• хранить токены вне URL

fetch('/login', {
  method: 'POST',
  body: JSON.stringify(credentials),
})

Вывод

GET-запросы не предназначены для передачи секретных данных. Использование их для авторизации — прямой риск безопасности.