nicht angemeldet
Ein im Body einer HTTP-Anfrage versandtes Passwort ist auch "nur" Plaintext,
Ja, aber eben nur im Body, nicht im einförmigen Ressourcen-Identifizierer.
Nun, wer an das Passwort will, kommt doch so oder so heran, ob nun POST oder GET? GET ist doch nur ein Risiko, weil der ERI ( ;) ) die Daten transportiert (Schulterblick, Browsercache, Logfiles), während es bei POST zugegebenermaßen schon schwieriger ist, an den Anfragekörper ( ;)) ) heranzukommen. Allerdings halte ich das nicht für ein erhebliches Sicherheitsrisiko von GET, sondern eher für eine allgemeine Besonderheit von HTTP.
Da stellt sich mir die überaus interessante Frage, wann man denn nun GET und wann POST verwenden sollte.
Siechfred
--
Hinter den Kulissen passiert viel mehr, als man denkt, aber meistens nicht das, was man denkt.
Hinter den Kulissen passiert viel mehr, als man denkt, aber meistens nicht das, was man denkt.