PostでアクセスするURLに対して、Getでアクセスした場合の処理について

お世話になっております。

現在、以下のような開発環境でWebシステムの開発を行っており、少し気になることがあり、質問させていただきました。

■開発環境

Laravel5.5　
Mysql5.7
PHP 7.1

具体的な内容は、下記の通りです。

■質問内容
HTTPリクエスト時に、PostメソッドでのみアクセスするURL（画面）にたいして、Getでアクセスされた場合の処理はどのように対処したらよろしいでしょうか？

こちらに対して、一般的にどうのような対処方法があるのか、ということを教えていただきたく思い、質問いたしました。

もしくは、何も対処しないで良いものなのでしょうか？

ご回答のほど、よろしくお願いいたします。

m.ts10806

2018/08/19 11:51

「質問内容」のところが複数の要件が入り混じっていて「結局どうしたいのか」が見えづらいように思います。具体例（データや流れ、実際のコードなど）を提示して説明してください。

m.ts10806

2018/08/19 11:52

すみません。上記、理解しました。POSTでしかアクセスさせたくないということですよね？

heroherohero

2018/08/19 12:00

ご回答ありがとうございます。はい、基本的には、Postでしかアクセスをさせたくないのですが、同じURLをブラウザ上で入力するとそこにもアクセスすることができるかなと思い、それに対して、どのような対処方法があるのかといことを教えていただきたいと思っております。　伝わりにくい質問内容で申し訳ございません。

行動規範の内容に同意します

回答4件

まずは想定外のアクセスされた時にどんな挙動にするのか決めましょう。
たとえば次のようなパターンがあると思います。

HTTPエラーコードを返すだけ
エラー画面を返す
元の画面を返してエラーメッセージを表示する

ここでHTTPエラーコードを返す場合、Getメソッドはサーバーが許可しないアクセス方法なのでクライアントエラーの400番台の中の405 Method Not Allowedが妥当です。

投稿2018/08/19 12:17

shiena

総合スコア1825

heroherohero

2018/08/19 12:31

shiena　様ご回答ありがとうございます。参考にさせていただきます。また、エラー番号まで教えていただき、ありがとうございます。確認させていただきます。

行動規範の内容に同意します

ベストアンサー

POSTされた情報をどのように扱うかによるので「必ずこうしなければならない」という対処法は一定ではありません。
「要件により」です。

ただ、

もしくは、何も対処しないで良いものなのでしょうか？

おおよそ、「何も対処しない」ということはないと思います。
GETでアクセスすることで何かしら不都合があるからGETアクセスを制限したいわけなので。
POSTだと殆どの場合、入力された情報に対してDBにアクセスすることが多いと思います。POSTを受け取る先で適切に対応がされていないとセキュリティ上のリスクが発生します。
適切に対応がされていたとしても「GETでアクセスして良い」というわけではありません。
「GETアクセスへの対応」も含めて「適切な対応」とします。

違いについて、特徴や長所短所、配慮その辺りも含めた記事は結構あるので読んでみてください。

良くある「POSTのみ許可する」際の「GETアクセス時の対応」としては、
0. 「存在しないページ」として404
0. 強制リダイレクト（POST前のページとか）
0. POST先を入力ページ自身にすることで物理的にGETアクセス＝POST前のページと解釈させる
（REQUEST_METHODのPOSTかどうかで判断）
0. 「直接アクセスすることは出来ません」として入力画面へのリンク

参考まで。

投稿2018/08/19 12:03

m.ts10806

総合スコア80842

maisumakun

2018/08/19 12:16 編集

あとは、（Laravelのルーティングがわからないのでなんとも言えないですが）Railsでは、同じURLで「GETだったら情報表示」「POSTだったら情報更新」というように、メソッドで動作自体が切り替わることもあります。

heroherohero

2018/08/19 12:28

mts10806 様ご回答いただき、ありがとうございます。また、分かりにくい質問内容の意図を汲み取っていただき、大変ありがとうございます。いくつも対処方法を挙げていただき、参考になります。また、URLのリンクも教えていただき、ありがとうございます。確認させていただきます。総じて、「どのように対処をするのかという方針を決めて対応する」ということで理解いたしました。早速、検討して対応に移りたいと思います。ありがとうございました。また機会がありましたら、よろしくお願いいたします。

heroherohero

2018/08/19 12:29

maisumakun 様コメント、ありがとうございます。はい、Laravelでも、同様にGETとPOSTの場合を分けて、コードを書くことが可能ですので、別々の方法で対処したいと思います。

m.ts10806

2018/08/19 12:40

そうですね。切り分けも可能ですしGET/POSTで同じメソッドを実行することもあります（それも一応切り分けってことで）

行動規範の内容に同意します

基本的にgetとpostは競合しません
しかしデータの一意性を考えればどちらかに統一するほうが良いでしょう

ちなみにPHPには$_REQUESTという与えられたデータを統合的に判断する変数があります
この場合競合すると一般にGET<POST<COOKIEという優先順位で判断されます
（厳密に言うと、GETで解釈したあとPOSTで上書きされるということ）
とくに設定をしていなければphp.iniのvariables_orderでEGPCSと定義されています
$_ENV、$_GET、$_POST、$_COOKIE、$_SERVER

PHP
1<?PHP
2print_r($_GET);
3print_r($_POST);
4print_r($_REQUEST);
5?>
6<form method="post" action="?x=1">
7<input type="text" name="x" value="2">
8<input type="submit" value="go">
9</form>