Worauf bei Backend Sicherheit achten?

[dedlfix]

Tach!

Was meinst du genau mit POST erzwingen?

bei GET-Requests werden die Daten im URL-String mitgeliefert:

[...]

Das Formular abzusenden erzeugt folgenden Request:

/path/to/script/login.php?login=Benutzer&pw=1234

Das steht dann auch so fröhlich im Access-Log des Webservers.

Ganz abgesehen davon widerspricht das auch den Richtlinien zu GET/POST. Ein GET soll im Idealfall Daten liefern und keine Aktionen ausführen, die Daten oder einen Status ändern. Einem GET soll man folgen können, ohne dass das Nebenwirkungen hat. Für Änderungen von Daten und Status ist POST vorgesehen (und bei REST-API noch weitere).

dedlfix.