security - HTTPS（HTTP + SSL）中的查询字符串参数是否安全？

Question

与请求一起发送时，查询字符串参数是否在 HTTPS 中加密？

score 480 · Accepted Answer

是的。查询字符串也使用 SSL 加密。然而，正如本文所示，将敏感信息放在 URL 中并不是一个好主意。例如：

URL 存储在 Web 服务器日志中 - 通常每个请求的整个 URL 都存储在服务器日志中。这意味着 URL 中的任何敏感数据（例如密码）都以明文形式保存在服务器上

score 143 · Accepted Answer

请记住，SSL/TLS 在传输层运行，因此所有加密货币都发生在应用层 HTTP 内容下。

这就是说，“是的！”

score 60 · Accepted Answer

整个传输，包括查询字符串、整个 URL，甚至请求的类型（GET、POST 等）在使用 HTTPS 时都是加密的。

score 4 · Accepted Answer

我不同意这里给出的建议——即使是已接受答案的参考也得出结论：

您当然可以在 HTTPS 中使用查询字符串参数，但不要将它们用于可能存在安全问题的任何事情。例如，您可以安全地使用它们来识别部件号或显示类型，如“accountview”或“printpage”，但不要将它们用于密码、信用卡号或其他不应公开的信息。

所以，不，它们并不安全……！

4 回答 4