ユーザーログイン時のAPIリクエストはGET？POST？

Question

表題の通りなのですが、ユーザーログイン時のAPIリクエストはGETでしょうか？POSTでしょうか？

特にユーザーログインが行われることによって、サーバー側でデータベースに何か新規レコードを追加するといった処理はなく、単純にJWTトークンを生成して、それをクライアント側に返すだけなのですが、こういった場合はGETでOKでしょうか？

どういった基準で判別すれば良いですか？

Answer 1

ユーザーログインはPOSTであるべきだと考えます。

ログインする以上、ログインのためのパスワードやAPIキーといった情報が通信に乗るわけですが、GETリクエストではそれらがURLの一部となるため、思わぬところに記録されてしまう危険があります。

Comments

[退会済みユーザー]

あ〜、確かにそうですよね。GETだとパラメーターで送ることになるんでしたね。なるほど。リクエスト送信時の視点が抜け落ちてました！ありがとうございます！

[退会済みユーザー]

横からすみません。
> 思わぬところに記録されてしまう危険があります。
これって、どういった箇所を想定されていますか？
API なら、ブックマークや閲覧履歴からは無縁かなぁと思い、他が思いつきませんでした。もしよろしければ、追記いただけるとうれしいです。

[think49]

Refererというものがあります。

[退会済みユーザー]

think49 さん、ありがとうございます。
少し調べてみたのですが、API で Referer を気にしなければならない状況が思い浮かびませんでした。どんなケースがあるのでしょうか？
重ね重ね、すみません＾＾；

[think49]

どういうAPIなのかにもよるとは思いますが、http://example.com/?id=userName&pass=password を参照した後に別のページのURIをクリックすれば、ID/Passが遷移先URIに漏洩します。

後はブラウザの履歴に残る事でしょうか。
当該ブラウザの履歴にアクセスする手段を持つ人は持ち主のID/Passを知る機会を得ます。
私は詳しくありませんが、ブラウザ拡張に履歴にアクセスする権限があるのであれば被害はさらに拡大しますね。

[退会済みユーザー]

なんとなく、分かりました。

想定外のケースでの漏洩を気にしているので、想定している中での安全とかあまり関係なく、いろいろなところに記述されることが問題なのですね。

ありがとうございました。