Можно ли технически изменять данные на сервере при обработке GET-запроса?

HTTP-метод GET по спецификации (RFC 9110) относится к так называемым безопасным (safe) методам. Это означает, что клиент, вызывая GET, не запрашивает изменение состояния на сервере — он лишь хочет получить представление ресурса. При этом сам протокол не содержит механизма, который бы физически запретил серверу что-то записать в базу при обработке GET. То есть технически это возможно, но семантически неправильно.

Почему это плохая идея

• Кэши. Прокси и браузеры кэшируют GET-ответы. Если GET меняет данные, повторный запрос из кэша не выполнит изменение, а реальный запрос выполнит его повторно.
• Предзагрузка. Браузеры и мессенджеры могут заранее открывать ссылки (prefetch), случайно выполняя изменения.
• Краулеры. Поисковые роботы обходят ссылки методом GET и могут удалить или изменить данные.
• Идемпотентность. GET должен быть идемпотентным: повторный вызов не меняет результат. Изменяющий GET это нарушает.
• Безопасность. CSRF-атаки через картинки и ссылки становятся тривиальными, если GET меняет состояние.

Пример нарушения

Классический антипаттерн — удаление сущности через GET-ссылку:

// Плохо: GET меняет состояние
app.get('/users/:id/delete', async (req, res) => {
  await db.users.delete({ id: req.params.id });
  res.redirect('/users');
});

// Правильно: используем DELETE или POST
app.delete('/users/:id', async (req, res) => {
  await db.users.delete({ id: req.params.id });
  res.status(204).end();
});

Когда изменение в GET всё же встречается

Иногда GET используют для «мягких» побочных эффектов: логирование обращения, инкремент счётчика просмотров, обновление времени последнего визита. Формально это тоже нарушение, но оно считается допустимым компромиссом, если эффект идемпотентен и не критичен. Всё, что реально меняет бизнес-данные, должно идти через POST, PUT, PATCH или DELETE.

Итог: технически изменять данные в GET можно, но не нужно. Для любых операций, меняющих состояние, применяйте POST, PUT, PATCH или DELETE — это сохранит корректную работу кэшей, краулеров и защитит от случайных и CSRF-изменений.