即使用了 https 也不要通过 query strings 传敏感数据

本文由 东方联盟 - xiaoheike 翻译
英文出处：HttpWatch。欢迎加入翻译组。

服务器端的 log 将明文记下完整 url；浏览器上的访问历史也会明文记下完整 url；Referrer headers 里也忠实记下完整 url，然后在别人家的 Google Analytics 上显示。

我们经常听到的一个常见问题是：“URL 中的参数是否可以安全地传递到安全网站？”这个问题常常出现在客户看了 HttpWatch 捕获的 HTTPS 请求后，想知道还有谁可以看到这些数据。

例如，假设在一个查询中，使用如下安全的 URL 传递密码字符串：https://www.httpwatch.com/?password=mypassword

。

如果你使用网络嗅探器查看，例如 Network Monitor，对于同一个请求，你只能够查阅加密之后的数据。在数据包跟踪中没有可见的网址，标题或内容：

您可以信任 HTTPS 请求是安全的，只要：

• 未忽略任何SSL证书警告
• Web 服务器用于启动 SSL 连接的私钥在 Web 服务器本身之外不可用。

因此，在网络层面，URL 参数是安全的，但是还有一些其他基于 URL 泄漏数据的方法：

1. URL 存储在 Web 服务器日志中–通常每个请求的完整 URL 都被存放在服务器日志中。这意味着 URL 中的任何敏感数据（例如密码）会以明文形式保存在服务器上。以下是使用查询字符串通过 HTTPS 发送密码时存储在 httpwatch.com 服务器日志中的条目： **2009-02-20 10:18:27 W3SVC4326 WWW 208.101.31.210 GET /Default.htm password=mypassword 443 … 通常认为即使是在服务器上，存储明文密码从来都不是好想法 2.URLs are stored in the browser history