HaCk80告诉你什么是XSS、sql注入POST和GET的区别
XSS漏洞与SQL注入漏洞解决方案
XSS漏洞与SQL注入漏洞解决方案XSS漏洞与SQL注入漏洞是常见的Web应用程序安全漏洞，它们可以被黑客利用来执行恶意代码或未经授权地访问数据库。
为了解决这些漏洞，开发人员应采取一系列的安全措施。
在下文中，我将详细介绍XSS漏洞和SQL注入漏洞的定义、原理、常见攻击方式以及解决方案。
XSS漏洞是一种安全漏洞，黑客通过在Web应用程序中插入恶意脚本代码，使得用户的浏览器执行这些脚本代码。
攻击者可以盗取用户的敏感信息，如登录凭证、会话cookie等。
XSS漏洞常见的攻击方式包括反射型XSS、存储型XSS和DOM-based XSS。
- 反射型XSS攻击：黑客通过欺骗用户点击恶意链接，将恶意脚本代码传递到Web应用程序的URL参数中。
当用户点击链接并访问页面时，恶意脚本代码会被执行，从而实现用户信息的盗取。
- 存储型XSS攻击：黑客通过在Web应用程序的数据库中存储恶意脚本代码，当其他用户访问包含该恶意脚本代码的页面时，恶意脚本代码也会被执行，造成信息泄漏。
- DOM-based XSS攻击：黑客通过修改DOM（文档对象模型）中的数据，将恶意脚本代码注入到页面中，从而执行攻击。
解决方案：1.输入验证与过滤：开发人员应对所有用户的输入数据进行验证和过滤。
用户的输入数据应该被视为不可信任的，并且应进行适当的过滤处理，去除潜在的恶意代码。
例如，可以使用正则表达式对输入进行格式验证，或者使用黑白名单机制来限制输入的内容。
2.输出编码与转义：开发人员在将用户的输入数据输出到页面时，应该对数据进行编码和转义，以防止恶意脚本代码的执行。
常见的编码方式包括HTML编码、URL编码等。
可以使用专门的编码库或框架来自动处理这些编码转义操作。
3. 限制脚本执行：通过设置合适的Content Security Policy（CSP）来限制网页中的脚本执行，可以有效减轻XSS攻击的影响。
CSP是一种HTTP头部，可以用来指定可信的资源源。
post和get的区别
HTTP 定义了与服务器交互的不同方法，最基本的方法是 GET 和 POST。事实上 GET 适用于多数请求，而保留 POST 仅用于更新站点。根据 HTTP 规范，GET 用于信息获取，而且应该是 安全的和 幂等的。所谓安全的意味着该操作用于获取信息而非修改信息。换句话说，GET 请求一般不应产生副作用。幂等的意味着对同一 URL 的多个请求应该返回同样的结果。完整的定义并不像看起来那样严格。从根本上讲，其目标是当用户打开一个链接时，她可以确信从自身的角度来看没有改变资源。比如，新闻站点的头版不断更新。虽然第二次请求会返回不同的一批新闻，该操作仍然被认为是安全的和幂等的，因为它总是返回当前的新闻。反之亦然。POST 请求就不那么轻松了。POST 表示可能改变服务器上的资源的请求。仍然以新闻站点为例，读者对文章的注解应该通过 POST 请求实现，因为在注解提交之后站点已经不同了（比方说文章下面出现一条注解）；
所有的人都知道如下区别:
1.Post传输数据时，不需要在URL中显示出来，而Get方法要在URL中显示。
2.Post传输的数据量大，可以达到2M，而Get方法由于受到URL长度的限制,只能传递大约1024字节.
3.Post顾名思义,就是为了将数据传送到服务器段,Get就是为了从服务器段取得数据.而Get之所以也能传送数据,只是用来设计告诉服务器,你到底需要什么样的数据.Post的信息作为http请求的内容，而Get是在Http头部传输的。
GET方式提交的数据最多只能有1024字节，而POST则没有此限制。
HTTP请求：GET与POST方法的区别
HTTP 定义了与服务器交互的不同方法，最基本的方法是 GET 和 POST。事实上 GET 适用于多数请求，而保留 POST 仅用于更新站点。根据 HTTP 规范，GET 用于信息获取，而且应该是 安全的和 幂等的。所谓安全的意味着该操作用于获取信息而非修改信息。换句话说，GET 请求一般不应产生副作用。幂等的意味着对同一 URL 的多个请求应该返回同样的结果。完整的定义并不像看起来那样严格。从根本上讲，其目标是当用户打开一个链接时，她可以确信从自身的角度来看没有改变资源。比如，新闻站点的头版不断更新。虽然第二次请求会返回不同的一批新闻，该操作仍然被认为是安全的和幂等的，因为它总是返回当前的新闻。反之亦然。POST 请求就不那么轻松了。POST 表示可能改变服务器上的资源的请求。仍然以新闻站点为例，读者对文章的注解应该通过 POST 请求实现，因为在注解提交之后站点已经不同了（比方说文章下面出现一条注解）；
POST和GET的区别
POST和GET的区别POST和GET的区别？POST和GET是什么？ POST和GET是HTTP请求的两种⽅式，都可实现将数据从浏览器向服务器发送带参数的请求。
HTTP请求底层协议都是TCP/IP，所以两者没有本质的区别。
HTTPHTTP是什么HTTP：超⽂本传输协议。
所有的WWW⽂件都必须遵守这个标准。
HTTP向服务器发送请求是TCP连接。
HTTP服务器收到请求后向客户端返回⼀个状态⾏⽐如“HTTP/1.1 200 OK”和HTTP请求的组成HTTP由四部分组成：请求⾏（request line）：⽤于说明请求类型、要访问的资源路径、HTTP版本号（GET /index.html HTTP/1.1）请求头部（header）：⽤于说明服务器要使⽤的附加信息⼀个空⾏请求数据（body）：任意添加的数据eg:GET /books/?sex=man&name=Professional HTTP/1.1Host: User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.7.6)Gecko/20050225 Firefox/1.0.1Connection: Keep-Alive这⾥是空⾏------------------------------------------------------------------------------POST /index.html HTTP/1.1 请求⽅法 url 协议/版本号Host: localhost 主机地址User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:10.0.2) Gecko/20100101 Firefox/10.0.2 发送请求的应⽤程序名称Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8Accept-Language: zh-cn,zh;q=0.5 通知服务端可以发送的语⾔Accept-Encoding: gzip, deflate 通知服务端可以发送的数据压缩格式Connection: keep-aliveReferer: <a target=_blank href="http://localhost/" style="color: rgb(51, 102, 153); text-decoration: none;">http://localhost/</a>Content-Length：25Content-Type：application/x-www-form-urlencoded请求空⾏标志着请求头结束，请求正⽂（请求体）的开始username=aa&password=1234GET⽅法 GET是获取的意思，顾名思义就是获取信息。
get和post有什么区别
1，生成方式
get方式有四种：1）直接在URL地址栏中输入URL。2）网页中的超链接。3）form中method为get。4）form中method为空时，默认是get提交。
post只知道有一种：form中method属性为post。
2、数据传送方式
4、传送的数据量
GET方式：数据量长度有限制，一般不超过2kb。因为是参数传递，且在地址栏中，故数据量有限制。
POST方式：适合大规模的数据传送。因为是以实体的方式传送的。
5、安全性
GET方式：安全性差。因为是直接将数据显示在地址栏中，浏览器有缓冲，可记录用户信息。所以安全性低。
表单中的get和post有什么区别？
1、Get是用来从服务器上获得数据，而Post是用来向服务器上传递数据。
2、Get将表单中数据的按照variable=value的形式，添加到action所指向的URL后面，并且两者使用“?”连接，而各个变量之间使用“&”连接；Post是将表单中的数据放在form的数据体中，按照变量和值相对应的方式，传递到action所指向URL。
4、Get传输的数据量小，这主要是因为受URL长度限制；而Post可以传输大量的数据，所以在上传文件只能使用Post（当然还有一个原因，将在后面的提到）。
5、Get限制Form表单的数据集的值必须为ASCII字符；ห้องสมุดไป่ตู้Post支持整个ISO10646字符集。
6、Get是Form的默认方法。
3、Get是不安全的，因为在传输过程，数据被放在请求的URL中，而如今现有的很多服务器、代理服务器或者用户代理都会将请求URL记录到日志文件中，然后放在某个地方，这样就可能会有一些隐私的信息被第三方看到。另外，用户也可以在浏览器上直接看到提交的数据，一些系统内部消息将会一同显示在用户面前。Post的所有操作对用户来说都是不可见的。
SQL注入详细讲解概括-GET注入、POST注入、HEAD注入
SQL注⼊详细讲解概括-GET注⼊、POST注⼊、HEAD注⼊SQL注⼊详细讲解概括-GET注⼊、POST注⼊、HEAD注⼊1、SQL注⼊流程2、GET注⼊3、POST注⼊4、HEAD注⼊⼀、SQL注⼊流程 1、SQL注⼊流程 · 寻找注⼊点—与数据库交互的地⽅，⽐如登录框，搜索框、URL地址栏、登陆界⾯、留⾔板等等 · 判断是否存在注⼊点，判断数据库类型，确定注⼊⽅法 · 构造特殊语句，查询数据库数据⼆、GET注⼊ 1、What is GET注⼊ 要搞懂GET注⼊之前，先搞懂什么是GET传参。
GET传参：⽤户输⼊的内容参数会被传到地址栏（URL栏），是通过GET的⽅式进⾏传参 · 特点：传参内容可见，传参长度有限，标识“？”，输⼊的内容会可能被url编码 GET注⼊：通过GET传参的⽅式，传输恶意语句，进⾏SQL注⼊ 2、如何进⾏GET注⼊ ⼀般情况判断为传参⽅式为GET传参⽅式，⾸先进⾏GET注⼊测试，判断是否存在GET注⼊ 如何判断是否存在GET注⼊：要想知道是否存在，⾸先搞原理，弄清楚是如何发⽣的 简单说，原本程序要执⾏的代码拼接了⽤户输⼊的数据然后执⾏，就是本来⽤户输⼊的数据是要被查询的，但是被数据库当作代码执⾏ OK，AND，只需知道输⼊的数据有没有被数据库当作代码，可以判断存不存在注⼊点 AND，⽤户输⼊的数据⼀定不是输⼊everying都⾏的，如果⽤户随便输⼊的数据都被当做代码执⾏，那么这个⽹站就失去了它的功能，这是⽹站开发者不允许的 SO，要输⼊什么数据才能被判断是否存在注⼊点呢 先来看⼀段代码 $query = "SELECT first_name, last_name FROM users WHERE user_id = $id⽤户输⼊参数传⼊$id来输⼊1 >>>> $id=1 >>> sql语句就变成了下⾯这样$query = "SELECT first_name, last_name FROM users WHERE user_id = 1ok，look look 现在数据库收到的数据是这样的，，SELECT first_name, last_name FROM users WHERE user_id = 1AND，输⼊什么能够让数据库执⾏⼀些别的操作思考ing time（3min）当然是数据库语⾔了，，，试⼀试 or 怎么样ok，， >>> 1 or 1=1 >>> $id=1 or 1=1SELECT first_name, last_name FROM users WHERE user_id = 1 or 1=1输⼊的内容当作代码执⾏了 //这个叫做整形闭合 在来看⼀段，这次把变量⽤引号引起来，⽤单引号or⽤双引号，是不⼀样的破解⽅法$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id';"上⾯双引号⾥的是要被传⼊数据库执⾏的first，输⼊的数据被传⼊$id这个变量ok，那么输⼊⼀个 1 ，$id=1 and 此语句就变成了：SELECT first_name, last_name FROM users WHERE user_id = '1'那么要怎么做才能变成输⼊的数据变成代码执⾏呢？思考ing time（5min）ok，⽆论输⼊什么数据他都在引号⾥，那输⼊的数据就没有任何意义对吧，那就来突破引号，如何突破，，look here 》》 1' or 1=1 ' 》》 $id=1' or 1=1 ' 拼接试⼀试SELECT first_name, last_name FROM users WHERE user_id = '1' or 1=1 ''FUCK，，有问题了，，不⼀样了 //这个叫做单引号闭合那么再来思考⼀个问题，当变量⽤双引号引起来怎么办，不是没⽤引号，也不是单引号思考ing time（2min）ok,easy 那就⽤双引号破解呗SELECT first_name, last_name FROM users WHERE user_id = "$id"look here 》》》 1" or 1=1 " 》》》 $id=1" or 1=1 "SELECT first_name, last_name FROM users WHERE user_id = "1" or 1=1 ""success，easy //这个叫做双引号闭合 OK，上⾯是能看到后端代码的，哪个⽹站愿意让你看到他的后端代码，It won't AND，看不到源码，怎么进⾏注⼊呢 so easy , 通过传⼊的恶意代码，观察页⾯情况，是否正常等，来判断是否存在注⼊点，确定注⼊⽅法 ⾸先我们找到传参点，进⾏注⼊尝试，⾸先判断闭合类型 SQL语句的闭合类型：整型闭合、单引号闭合、双引号闭合、单引号加括号、双引号加括号 · 整形闭合 1SELECT* FROM admin WHERE id=1; //整形闭合 模拟注⼊ ?id=1' => 报错 ?id=1'' => 报错 判断为整形闭合 · 单引号闭合 1SELECT* FROM admin WHERE id=‘1’； //单引号闭合 模拟注⼊ ?id=1' => 报错 ?id=1'' => 正常返回id=1的值 判断为单引号或者单引号括号闭合 任何闭合⽅式都这样在没有遇到相对应的闭合时，都会把这个符号当作⼀个整体，注释符也不例外 再次模拟注⼊ ?id=1'-+ => ⽆报错 => 单引号闭合 ?id=1'-+ => 报错 => 单引号括号闭合 · 双引号闭合 1SELECT* FROM admin WHERE id="1"; //双引号闭合 ?id=1' => 正常返回id=1的值 ?id=1" => 报错 判断为双引号闭合或者双引号括号闭合 再次模拟注⼊ ?id=1"-+ => ⽆报错 => 双引号闭合 ?id=1"-+ => 报错 => 双引号括号闭合 · 总结 判断闭合类型 ⾸先尝试：?id=1' ?id=1" 不报错 => 整形闭合 报错 => 单引号报错，双引号不报错 => 尝试 ?id=1'-+ => ⽆报错单引号闭合，报错单引号加括号闭合 报错 => 单引号不报错，双引号报错 => 尝试 ?id=1"-+ => ⽆报错双引号闭合，报错双引号加括号闭合 注⼊点找到，确定闭合⽅式开始进⾏注⼊攻击，以DVWA靶场为例 First，观察url栏判断为GET传参，先进⾏正常内容输⼊，输⼊1 ，看返回结果 第⼆步，测试是否存在注⼊，进⾏恶意语句测试，不知道闭合类型，先从整形闭合开始判断 1 and 1=1 页⾯正常，与id=1 时返回的内容⼀样不确定是否注⼊成功，因为and 1=1 恒成⽴所以还得进⾏第⼆次判断，1 and 1=2 页⾯正常，与id=1 时返回的内容⼀样，and 1=2 是恒不成⽴的，如果数据库执⾏了代码那么应该是没有数据返回的，现在返回了数据，so，不是整形闭合 ok，既然不是整形闭合，那么去尝试是不是单引号闭合，输⼊ 1'，，，把错误显⽰出来了，说明是单引号闭合，既存在注⼊，⼜确定是单引号闭合，那么可以进⾏注⼊了。
Get和Post区别-给你标准答案
Get、post的区别——给你标准答案首先，get和post都是HTTP协议的请求方法，本质上没有区别。
HTTP的底层是TCP/IP，所以GET和POST的底层也是TCP/IP，也就是说，GET/POST都是TCP链接，GET和POST能做的事情是一样一样的，你要给GET加上request body，给POST带上url参数，技术上是完全行的通的。
但为什么我们还要区分get、post呢？在我大万维网世界中，TCP就像汽车，我们用TCP来运输数据，它很可靠，从来不会发生丢件少件的现象。
但是如果路上跑的全是看起来一模一样的汽车，那这个世界看起来是一团混乱，送急件的汽车可能被前面满载货物的汽车拦堵在路上，整个交通系统一定会瘫痪。
为了避免这种情况发生，交通规则HTTP诞生了。
HTTP给汽车运输设定了好几个服务类别，有GET, POST, PUT, DELETE等等，HTTP规定，当执行GET请求的时候，要给汽车贴上GET的标签（设置method为GET），而且要求把传送的数据放在车顶上（url中）以方便记录。
如果是POST请求，就要在车上贴上POST的标签，并把货物放在车厢里。
当然，你也可以在GET 的时候往车厢内偷偷藏点货物，但是这是很不光彩；也可以在POST的时候在车顶上也放一些数据，让人觉得傻乎乎的。
HTTP只是个行为准则，而TCP才是GET和POST怎么实现的基本。
但是，我们只看到HTTP对GET和POST参数的传送渠道（url还是requrest body）提出了要求。
“标准答案”里关于参数大小的限制又是从哪来的呢？在我大万维网世界中，还有另一个重要的角色：运输公司。
不同的浏览器（发起http请求）和服务器（接受http请求）就是不同的运输公司。
虽然理论上，你可以在车顶上无限的堆货物（url中无限加参数）。
但是运输公司可不傻，装货和卸货也是有很大成本的，他们会限制单次运输量来控制风险，数据量太大对浏览器和服务器都是很大负担。
post与get的区别
post与get的区别如果有人问你，GET和POST，有什么区别？你会如何回答？最普遍的答案1. GET使用URL或Cookie传参。
而POST将数据放在BODY中。
2. GET的URL会有长度上的限制，则POST的数据则可以非常大。
3. POST比GET安全，因为数据在地址栏上不可见。
但是很不幸，这些区别全是错误的，更不幸的是，这个答案还是Google搜索的头版头条，然而我根本没想着这些是答案，因为在我看来他们都是错的。
我来一一解释一下。
GET和POST与数据如何传递没有关系GET和POST是由HTTP协议定义的。
在HTTP协议中，Method和Data(URL, Body, Header)是正交的两个概念，也就是说，使用哪个Method与应用层的数据如何传输是没有相互关系的。
HTTP没有要求，如果Method是POST数据就要放在BODY中。
也没有要求，如果Method是GET，数据（参数）就一定要放在URL中而不能放在BODY中。
那么，网上流传甚广的这个说法是从何而来的呢？我在HTML标准中，找到了相似的描述。
这和网上流传的说法一致。
但是这只是HTML标准对HTTP协议的用法的约定。
怎么能当成GET和POST的区别呢？而且，现代的Web Server都是支持GET中包含BODY这样的请求。
虽然这种请求不可能从浏览器发出，但是现在的Web Server又不是只给浏览器用，已经完全地超出了HTML服务器的范畴了。
知道这个有什么用？我不想解释了，有时候就得自己痛一次才记得住。
HTTP协议对GET和POST都没有对长度的限制HTTP协议明确地指出了，HTTP头和Body都没有长度的要求。
而对于URL长度上的限制，有两方面的原因造成：1. 浏览器。
据说早期的浏览器会对URL长度做限制。
据说IE对URL长度会限制在2048个字符内（流传很广，而且无数同事都表示认同）。
但我自己试了一下，我构造了90K的URL通过IE9访问，是正常的。
get和post请求参数
get和post请求参数摘要：1.GET和POST请求的基本概念2.GET和POST请求的参数传递方式的区别3.适用场景和优缺点4.安全性考虑5.实际应用建议正文：在Web开发中，GET和POST请求是两种最常用的HTTP请求方法。
它们在数据传输方面有一定的差异，下面我们将详细介绍GET和POST请求的参数传递方式、适用场景、优缺点及安全性考虑。
一、GET和POST请求的基本概念1.GET请求：GET请求是一种HTTP请求方法，用于从服务器获取特定资源。
它将请求参数附加在URL之后，以“？”为分隔符。
多个参数之间用“&”分隔。
GET请求的参数在浏览器地址栏中是可见的。
2.POST请求：POST请求与GET请求相反，它将请求数据包装在HTTP 请求体中。
POST请求通常用于提交表单、上传文件等操作。
POST请求的参数在浏览器地址栏中是不可见的。
二、GET和POST请求的参数传递方式的区别1.数据传递方式：GET请求将参数附加在URL中，而POST请求将参数包装在请求体中。
2.数据长度限制：GET请求对传输数据长度有限制，因为URL的长度受限。
POST请求则无此限制。
3.安全性：由于GET请求的参数在浏览器地址栏中可见，可能导致敏感信息泄露。
而POST请求的参数在地址栏中不可见，相对更安全。
4.缓存：GET请求的参数可以被浏览器缓存，而POST请求的参数不会被缓存。
三、适用场景和优缺点1.GET请求适用于简单、安全性要求不高的数据获取操作，如查询、搜索等。
它的优点是简单易懂、传输速度快，缺点是数据长度受限，可能导致敏感信息泄露。
2.POST请求适用于提交表单、上传文件等操作，具有较强的安全性。
它的优点是数据传输不受长度限制，安全性较高，缺点是传输速度略慢于GET请求。
四、安全性考虑1.对于敏感信息，如密码、银行卡号等，应使用POST请求传输，以减少泄露风险。
2.对于非敏感信息，如查询、搜索等操作，可使用GET请求。
Post和Get的区别(兼谈页面间传值的方式)
Post和Get的区别(兼谈页面间传值的方式)从一个页面转向另一个页面的请求方式有两种，Post和Get.如果从原理上来探究他们的区别，涉及到Http传输协议的细节,本文不加探究,只讨论一下表象。
所有的人都知道如下区别:1.Post传输数据时，不需要在URL中显示出来，而Get方法要在URL中显示。
2.Post传输的数据量大，可以达到2M，而Get方法由于受到URL长度的限制,只能传递大约1024字节.3.Post顾名思义,就是为了将数据传送到服务器段,Get就是为了从服务器段取得数据.而Get 之所以也能传送数据,只是用来设计告诉服务器,你到底需要什么样的数据.Post的信息作为http请求的内容，而Get是在Http头部传输的。
我们的form表单的method方法，有两个，post,get.它在页面传值的时候的区别也就是上面提到的三点.先来看一下post方法.这个方法在asp时代应该跟程序员打交道很多的,因为那时候没有现在的V iewState,每个页面要恢复原来的状态,都要将页面Post给自身,然后挨个取值,重新赋值.现在这些琐碎的事情都让ViewState代劳了.所以将页面post给自身的动作,在某种程度上已经被的程序员们忘却了,所以Post也就被大部分的忽视了,这就是技术进步的双刃剑,带来方便的同时,蒙上你的眼睛。
ViewState必须包含在<form runat="server">的窗体下,而只要包含了"runat="server""的标志,就甭想Post到其他页面中去,为什么?老盖说，我的V iewState是保存当前页面状态的，你要转到其他页面，他说，不行，**不认识的参数.如果想Post一个窗体,咋办?有四种方式可供选择.1.在页面上新建一个form,不要加上runat="server"的标志,当然在这个窗体下的控件也就不用想用Viewstate来传值了.当在其他有runat="server"的窗体的中的按钮事件中,手动调用新建form的submit() 函数.传送页面代码如下:<!--html代码--><form id="Form1" method="post" runat="server"><input id="btnTransfer" type="button" onclick="post();" runat="server"><input type="text" runat="server" id="SourceData"></form><form id="forPost" method="post"><input type="text" runat="server" id="SourceData2"></form><!--Script代码--><script language="javascript">function post(){forPost.action="DestinationPage.aspx";forPost.submit();}</script>接收页面string a=Request.Form["SourceData2"].ToString();2.通过Session取值，在一个页面中赋值，在其他页面中共享，这个方式也被广泛应用，个人不倾向于用这种方式，我怕造成Session值的混乱无序，Session用来存一些公共的东西已经累得够呛了。
表单提交中Get和Post方式的区别
表单提交中 Get 和 Post 方式的区别表单提交中 Get 和 Post 方式的区别有 5 点 1. get 是从服务器上获取数据，post 是向服务器传送数据。
2. get 是把参数数据队列加到提交表单的 ACTION 属性所指的 URL 中，值和表单内各个字段 一一对应，在 URL 中可以看到。
post 是通过 HTTP post 机制，将表单内各个字段与其内容放置 在 HTML HEADER 内一起传送到 ACTION 属性所指的 URL 地址。
用户看不到这个过程。
3. 对于 get 方式，服务器端用 Request.QueryString 获取变量的值，对于 post 方式，服务器端 用 Request.Form 获取提交的数据。
4. get 传送的数据量较小，不能大于 2KB。
post 传送的数据量较大，一般被默认为不受限制。
但 理论上，IIS4 中最大量为 80KB，IIS5 中为 100KB。
5. get 安全性非常低，post 安全性较高。
HTTP 请求：GET 与 POST 方法的区别 HTTP 定义了与服务器交互的不同方法，最基本的方法是 GET 和 POST。
事实上 GET 适 用于多数请求，而保留 POST 仅用于更新站点。
根据 HTTP 规范，GET 用于信息获取，而 且应该是 安全的和幂等的。
所谓安全的意味着该操作用于获取信息而非修改信息。
换句话说， GET 请求一般不应产生副作用。
幂等的意味着对同一 URL 的多个请求应该返回同样的结果。
完整的定义并不像看起来那样严格。
从根本上讲，其目标是当用户打开一个链接时，她可以确 信从自身的角度来看没有改变资源。
比如，新闻站点的头版不断更新。
虽然第二次请求会返回 不同的一批新闻，该操作仍然被认为是安全的和幂等的，因为它总是返回当前的新闻。
反之亦 然。
POST 请求就不那么轻松了。
POST 表示可能改变服务器上的资源的请求。
get请求和post请求的用法
get请求和post请求的用法
GET请求和POST请求都是HTTP协议的请求方式，用于向服务器请求数据。
它们的区别在于：
1. GET请求通过URL传递请求参数，而POST请求通过请求体传递请求参数。
2. GET请求的请求参数会显示在URL中，而POST请求的请求参数不会显示在URL中。
3. GET请求适合用于请求数据，而POST请求适合用于提交数据。
4. GET请求的请求参数长度有限制，一般为2048个字符，而POST请求的请求参数长度没有限制。
GET请求的用法：
1. 用于请求资源
2. 请求参数通过URL传递，可以通过URL参数直接获取参数
3. 没有上传文件等二进制数据的需求
4. 不需要向服务器发送敏感数据
POST请求的用法：
1. 用于向服务器提交数据
2. 请求参数通过请求体传递，需要通过请求体解析参数
3. 可以上传二进制数据，如文件、图片等
4. 需要向服务器发送敏感数据，如用户名密码等
综上所述，GET请求和POST请求的用法需要根据实际情况进行选择。
一般来说，GET请求适合用于请求数据，而POST请求适合用于提交数据。
同时，需要注意请求参数的传递方式及数据安全性。
get请求和post请求的区别
这里特指浏览器中非Ajax的http请求，即从html和浏览器诞生就一直使用的http协议中的get/post。浏览器用GET请求来获取一个html页面/图 片/css/js等资源；用post来提交一个<form>表单，并得到一个结果的网页。
get
“读取“一个资源。比如get到一个html文件。反复读取不应该对访问的数据有副作用。比如”get一下，用户就下单了，返回订单已受理“，这是 不可接受的。这里get没有副作用被称为“幂等“（Idempotent)。
试想一下如果post请求被浏览器缓存了那么下单请求就可以不向服务器发请求而直接返回本地缓存的下单成功界面却又没有真的在服务器下单
get请求和 post请求的区别
HTTP最早被用来做浏览器与服务器之间交互html和表单的通讯协议；后来又被被广泛的扩充到接口格式的定义上。所以在讨论get和post区 别的时候，需要现确定下到底是浏览器使用的get/post还是用http作为接口传输协议的场景。
当然，服务器的开发者完全可以把GET实现为有副作用；把POST实现为没有副作用。只不过这和浏览器的预期不符。
GET和POST携带数据的格式也有区别。当浏览器发出一个GET请求时，就意味着要么是用户自己在浏览器的地址栏输入，要不就是点击了 html里a标签的href中的url。所以其实并不是GET只能用url，而是浏览器直接发出的GET只能由一个url触发。所以没办法，GET上要在url之 外带一些参数就只能依靠url上附带querystring。但是HTTP协议本身并没有这个限制。 浏览器的POST请求都来自表单提交。每次提交，表单的数据被浏览器用编码到HTTP请求的body里。 浏览器发出的POST请求的body主要有有两种格式，一种是application/x-www-form-urlencoded用来传输简单的数据，大概就 是"key1=value1&key2=value2"这样的格式。另外一种是传文件，会采用multipart/form-data格式。 浏览器在POST一个表单时，url上也可以带参数，只要<form action="url" >里的url带querystring就行。不过表单里面的那些用<input> 等标签 经过用户操作产生的数据会在body里。 因此一般会说“GET请求没有body，只有url，请求数据放在url的querystring中；POST请求的数据在body中“，但这种情况仅限于浏览器发请 求的场景。
GET和POST的区别
GET和POST的区别
1.GET和POST是HTTP协议请求的两种⽅式
2.GET主要是⽤来获取数据 ,POST是⽤来提交数据的
3.GET带参数请求是将参数缀到URL之后,在地址栏⾥输⼊⽹址访问⽹站就是GET请求
POST带参数请求是将参数放到请求体中,HTML中可以使⽤form表单发送POST请求
4.POST请求相对于GET请求安全些,因为GET在浏览器中带参数会暴露在地址栏
5.GET请求⼤⼩有限制⼀般为2K,⽽POST请求没有⼤⼩限制
深⼊答案
1.GET和POST是HTTP请求的两种⽅式两种请求的本质都是TCP(transmission control protocol --传输控制协议)链接
2.HTTP请求包括三部分请求头,请求体,请求⾏
请求⾏⼜包括三个部分⽅法,路径,协议 GET类型报⽂请求⽅法的位置为GET POST类型报⽂请求的⽅法为POST 3.GET请求会产⽣⼀次TCP数据包,浏览器会把http,header,data⼀并发送出去
POST请求会产⽣两次TCP数据包浏览器先发送请求头,服务器响应100 continue, 浏览器再发送请求体。
post和get的区别
表单的提交方式POST和GET有什么区别表单的提交方式POST和GET有什么区别？解决思路：两者的区别需要通过提交表单后才看得出来，主要是在数据发送方式和接收方式上。
具体步骤：Post和Get都是表单属性Method的可选值，Method的默认值为Get，两者的主要区别在于：1.在客户端，Get方式在通过URL提交数据，提交后在地址栏中的地址如图1.4.3所示。
图1.4.3 Get方式提交表单后的地址栏而Post提交后地栏不变，如图1.4.4所示。
图1.4.4 Post方式提交表单后的地址栏不变2.在服务器端只能用Request.QueryString来获取Get方式提交来的数据，用Post方式提交的数据只能用Request.Form来获取：<%@language="VBScript" Codepage="936"%><html><head><title> 表单提交方式测试</title><meta http-equiv="Content-Type" content="text/html; charset=gb2312"> </head><body><form method="post" action="<%=Request.ServerVariables("Script_Name ")%>">提交数据：<input name="oStr" type="text"><br>提交方式：<select name="select" onchange="this.form.method=this.value"><option value="Post" selected>Post</option><option value="Get">Get</option></select><br><input type="submit" name="Submit" value="提交"></form><%if Request("Submit")<>"" thenResponse.Write "通过"&Request.ServerVariables("Request_Method ")&"方式提交的数据为："if Request.ServerVariables("Request_Method")="GET" thenResponse.Write Request.QueryString("oStr")elseResponse.Write Request.Form("oStr")end ifend if%></body></html>注意：虽然两种提交方式可以统一用Request("oStr")来获取提交数据，但是这样对程序效率有影响，不推荐使用。
GET与POST方法的区别
GET与POST⽅法的区别GET与POST⽅法的区别什么时候⽤get请求,什么时候⽤post⽅式请求呢? 在做回答前我们⾸先要了解get和post的区别.1、 get是把参数数据队列加到提交表单的ACTION属性所指的URL中，值和表单内各个字段⼀⼀对应，在URL中可以看到。
post是通过HTTP post机制，将表单内各个字段与其内容放置在HTML HEADER内⼀起传送到ACTION属性所指的URL地址。
⽤户看不到这个过程。
2、对于get⽅式，服务器端⽤Request.QueryString获取变量的值，对于post⽅式，服务器端⽤Request.Form获取提交的数据。
两种⽅式的参数都可以⽤Request来获得。
3、get传送的数据量较⼩，不能⼤于256KB。
post传送的数据量最⼤为4M，⼀般被默认为不受限制。
但理论上，因服务器的不同⽽异.4、get安全性⾮常低，post安全性较⾼。
5、 <form method="get" action="a.asp?b=b">跟<form method="get" action="a.asp">是⼀样的，也就是说，method为get时action 页⾯后边带的参数列表会被忽视；⽽<form method="post" action="a.asp?b=b">跟<form method="post" action="a.asp">是不⼀样的。
另外Get请求有如下特性：它会将数据添加到URL中，通过这种⽅式传递到服务器，通常利⽤⼀个问号？代表URL地址的结尾与数据参数的开端，后⾯的参数每⼀个数据参数以“名称=值”的形式出现，参数与参数之间利⽤⼀个连接符&来区分。
get post请求的区别
Get和Post在面试中一般都会问到，一般的区别：（1）post更安全（不会作为url的一部分，不会被缓存、保存在服务器日志、以及浏览器浏览记录中）（2）post发送的数据更大（get有url长度限制）（3）post能发送更多的数据类型（get只能发送ASCII字符）（4）post比get慢（5）post用于修改和写入数据，get一般用于搜索排序和筛选之类的操作（淘宝，支付宝的搜索查询都是get提交），目的是资源的获取，读取数据虽然在开发中经常用get或者post请求，但是由于我们资历经验的欠缺，或许就重来没有深究过什么场合用get请求，什么场合用post请求，我相信不止我一个人当看到第4,5条的时候，就会明白为什么面试官对我们的回答不满意，也明白了自己对get或post用法理解的欠缺，那么get比post更快，究竟快多少呢？表现在那些方面？一、为什么get比post更快1.post请求包含更多的请求头因为post需要在请求的body部分包含数据，所以会多了几个数据描述部分的首部字段（如：content-type）,这其实是微乎其微的。
2.最重要的一条，post在真正接收数据之前会先将请求头发送给服务器进行确认，然后才真正发送数据post请求的过程：（1）浏览器请求tcp连接（第一次握手）（2）服务器答应进行tcp连接（第二次握手）（3）浏览器确认，并发送post请求头（第三次握手，这个报文比较小，所以http会在此时进行第一次数据发送）（4）服务器返回100 Continue响应（5）浏览器发送数据（6）服务器返回200 OK响应get请求的过程：（1）浏览器请求tcp连接（第一次握手）（2）服务器答应进行tcp连接（第二次握手）（3）浏览器确认，并发送get请求头和数据（第三次握手，这个报文比较小，所以http会在此时进行第一次数据发送）（4）服务器返回200 OK响应也就是说，目测get的总耗是post的2/3左右，这个口说无凭，网上已经有网友进行过测试。
GET和POST的原理和区别
GET和POST的原理和区别总结：1、请求行（request-line）中的URL部分必须以application/x-www-form-urlencoded方式编码。
2、主体数据（request-body）的编码方式由头部（headers）信息中的Content-Type指定。
3、主体数据（request-body）的长度由头部（headers）信息中的Content-Length指定。
4、以GET方式提交表单时，每个表单域的NAME与VALUE要以URL的方式提交，所以每个表单域的NAME与VALUE均要进行URL Encoding处理。
这个操作通常是由用户端浏览器完成的。
5、以POST方式提交表单时，action标签属性的值必须是已经进行了URL Encoding处理之后的值，用户端浏览器不会自动处理URL 中的非法字符。
6、GET方式在request-line中传送数据；POST方式在request-line及request-body中均可以传送数据。
-----------------------------------------------------------------------讲解：HTTP请求从使用者的角度看，一个HTTP请求起始于用户端浏览器上输入的一个URL地址；网页中的一个超链接；提交一个HTML表单。
但本质上说，一个HTTP请求起始于用户端向HTTP服务器发送的一个URL请求。
一个标准的HTTP请求由以下几个部分组成<request-line><headers>[<request-body><CRLF>]在HTTP请求中，第一行是请求行（request-line），用来说明请求类型、要访问的资源（URL）以及使用的HTTP版本；紧接着是多行头部（headers）信息，用来说明服务器要使用的附加信息；头部信息之后是一个回车换行符（/r/n），用于标明头部信息的结束。
关于post和get传递参数的区别
关于post和get传递参数的区别今天⼀朋友给我⼀段代码，说使⽤request.querystrin得不到传过来的值，我们⼀起找到很长时间，终于给找到了，错误的原因是他将form中的method参数写成了get了，所以使⽤request.querystrin得不到值，改成post就解决了。
现在列出post与get的区别：1.Post传输数据时，不需要在URL中显⽰出来，⽽Get⽅法要在URL中显⽰。
2.Post传输的数据量⼤，可以达到2M，⽽Get⽅法由于受到URL长度的限制,只能传递⼤约1024字节.3.Post顾名思义,就是为了将数据传送到服务器段,Get就是为了从服务器段取得数据.⽽Get之所以也能传送数据,只是⽤来设计告诉服务器,你到底需要什么样的数据.Post的信息作为http请求的内容，⽽Get是在Http头部传输的。
get和post的区别1get⽅式传递的参数可以在页⾯上看见，So安全性不⾼，反之post安全性⾼2get⽅式传递的速度快。
在后台定义了get,set⽅法可以直接获取，不⽤getParameter("name");$.get(....) $.ajax(....) $.getJSON(....)3个都是ajax传递只是⽅式不同。
$.get()是以get⽅式传递到后台$.ajax()需要你配置传递到后台的⽅式，⽽且功能⽐$.get()⽅法多，建议使⽤这个⽅法$.getJSON()传递的是json数据类型开发经验表明，两者最重要的区别是：get不能传中⽂，会乱码，⽽post就不会出现乱码问题了⾸先看⼀下get、post的区别 1、 get是把参数数据队列加到提交表单的ACTION属性所指的URL中，值和表单内各个字段⼀⼀对应，在URL中可以看到。
post是通过HTTP post机制，将表单内各个字段与其内容放置在HTML HEADER内⼀起传送到AC 所以对于ajax提交两者⽤法⾃然就明了了2008-09-12 15:50终结：get是把参数数据队列加到提交表单的ACTION属性所指的URL中，值和表单内各个字段⼀⼀对应，在URL中可以看到。
深度剖析post和get的区别
深度剖析post和get的区别刚步⼊前端的你学习html和css表单你可能就会听到post和get的区别。
那么究竟get和post有什么样的区别呢？ 1、get是从服务器上获取数据；⽽post是向服务器发送数据； 2、get传送数据量较⼩，不能⼤于2kb;⽽post传送量⼤，不受限制； 3、get安全性⾮常低，post安全性较⾼，但执⾏效率⽐post好； 4、get是把参数数据队列加到提交表单的Action属性，所指的url中在url中可以看到；⽽post通过HTTP post机制，放在body⾥⽤户看不到； 仅仅只有这些吗？NO NO NO!知道这些还远远不够，那么get和post究竟还有什么区别呢？ 其实get和post本质上没有区别，他们都是http协议中请求的⽅法，底层的实现都是基于TCP/IP，上述的所谓区别，只是浏览器⼚家根据约定，做得限制⽽已。
http请求最初设定了8种⽅法，这8种⽅法本质没有区别，只是让请求更加有语义⽽已。
1、options 返回服务器所⽀持的请求⽅法 2、get向服务器获取指定资源 3、head和get⼀致，只不过响应体不返回，只返回响应头 4、post向服务器提交数据，数据放在请求体⾥ 5、put和post相似，只是添加了幂属性，常⽤于更新 6、delete⽤于删除服务器指定资源 7、trace 回显服务器端收到的请求，测试的时候⼀般会⽤到这个 8、connect预留，暂⽆使⽤Restful API：服务端根据不同的请求⽅式，可以做不同的处理，同时，根据不同的请求，还可以设计出不同风格的应⽤程序接⼝，这就引出了Representational State Transfer，英⽂缩写就是REST，中⽂意思是表述性状态转移（和没翻译差不多），可以理解为客户端和服务端的交互形式。
⽽符合这种交互形式的接⼝设计，就被叫做RESTful API。
这种风格有如下特点：1、使⽤名词⽽不使⽤动词例如：/getStudent 或者 /searchStudents 应该改成 /students2、GET⽤于查询，PUT、POST、DELETE⽤于修改使⽤名词复数不使⽤单数在HTTP请求的head体⾥定义序列化类型例如：Content-Type:application/json请求的集合应设定好过滤条件、排序、字段、分页例如：/students?page=1&size=10接⼝要版本化例如：/api/v1/students要有HTTP状态码允许重写HTTP请求⽅法HTTP状态码HTTP协议中提供了好多状态码，列举我们常⽤的：200 返回正常304 服务端资源⽆变化，可使⽤缓存资源400 请求参数不合法401 未认证403 服务端禁⽌访问该资源404 服务端未找到该资源500 服务端异常get和post的重⼤区别：GET产⽣⼀个TCP数据包；POST产⽣两个TCP数据包。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
修改URL中的数据，看程序是否能识别：
如：对于以下URL，修改其中planId，看是程序是否可以识别：
http：///javame/index.htm？planId=878
又如：对于URL中包含金额参数的，修改金额看是否能够提交成（可能导致用户把2元金额改成1元金额能提交），还有修改订单号等重要信息看是否会报错
测试关注点：
1） 表单中注入XSS脚本
什么是XSS？这已在上一节中说明。URL中需要检测XSS注入，表单中更需要验证
测试方法：即在表单填写框中直接注入JS脚本
如在表单中输入XSS脚本，程序是不应该让脚本执行的
2） 表单中注入SQL 脚本
与URL中参数进行SQL注入类似，就是在表单中写入SQL注入脚本提交看是否会有问题
敏捷测试团队，不再仅仅是在coding之后。而是和研发人员贯穿在需求分析、规格说明、自动化单元测试、自动化验收测试、静态代码分析、技术债等环节中。所以敏捷项目必定在将来效率的趋势下成为主流。
4、Session测试
（1）Session是客户端与服务器端建立的会话，总是放在服务器上的，服务器会为每次会话建立一个sessionId，每个客户会跟一个sessionID对应。
并不是关闭浏览器就结束了本次会话，通常是用户执行“退出”操作或者会话超时时才会结束。
（2）测试关注点：
1）Session互窜
Session互窜即是用户A的操作被用户B执行了。
验证Session互窜，其原理还是基于权限控制，如某笔订单只能是A进行操作，或者只能是A才能看到的页面，但是B的session窜进来却能够获得A的订单详情等。
Session互窜方法：
多TAB浏览器，在两个TAB页中都保留的是用户A的session记录，然后在其中一个TAB页执行退出操作，登陆用户B，此时两个TAB页都是B的session，然后在另一个A的页面执行操作，查看是否能成功。预期结果：有权限控制的操作，B不能执行A页面的操作，应该报错，没有权限控制的操作，B执行了A页面操作后，数据记录是B的而不是A的。
改成“/javame/in ... 2&ClassName=abc<script>alert("hello");</script>”
看看有没弹出对话框显示hello，有的话就有跨站漏洞。
在URL中进行XSS注入，也就是把URL中的参数改成JS脚本。
2）Session超时
基于Session原理，需要验证系统session是否有超时机制，还需要验证session超时后功能是否还能继续走下去。
测试方法：
1、打开一个页面，等着10分钟session超时时间到了，然后对页面进行操作，查看效果。
2、多TAB浏览器，在两个TAB页中都保留的是用户A的session记录，然后在其中一个TAB页执行退出操作，马上在另外一个页面进行要验证的操作，查看是能继续到下一步还是到登录页面。
4） URL参数中进行SQL 注入
什么是SQL注入？
SQL注入全称是SQL Injection ，当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击，如查询、插入数据时。
测试方法： URL中写入SQL注入语句，看是否被执行
如：/javame这个网站中，选择登陆
设置用户名为 admin ' or '1'='1 密码为任意数字 ，点击登录就可以登陆。
一般情况下要进行SQL注入攻击，需要对数据库类型、表名、判断逻辑、查询语句等比较清楚才能够写出有效的SQL注入语句。
3、表单提交安全测试
适用范围：有表单提交的地方、有HTTP请求的地方（包括GET、POST请求）
1、用户权限测试
（1） 用户权限控制
1） 用户权限控制主要是对一些有权限控制的功能进行验证
2） 用户A才能进行的操作，B是否能够进行操作（可通过窜session，将在下面介绍）
3）只能有A条件的用户才能查看的页面，是否B能够查看（可直接敲URL访问）
（2） 页面权限控制
（3）测试关注点：
1） URL 参数检查：
A： 对URL中参数信息检查是否正确
如：URL中的订单号、金额允许显示出来的话，需要验证其是否正确
B： 对于一些重要的参数信息，不应该在URL中显示出来
如：用户登陆时登录名、密码是否被显示出来了 ，
2） URL参数值篡改
3） URL中参数修改进行XSS注入：
什么是XSS？
XSS的全称是Cross Site Script（跨站点脚本）
XSS的原理很简单，即进行脚本注入，URL执行时即把此脚本进行了执行，一般都是JavaScript脚本。
如“/javame/in ... 2&ClassName=abc”
GET方式在客户端通过URL提交数据，数据在URL中可以看到，例如在日常中订购服务：
http：///javame/index.htm？servId=2
POST方式，数据放置在HTML HEADER内提交，数据在URL中看不到
GET只能传输比较少的数据，安全性较低，POST传输数据较多，安全性也比GET高
1） 必须有登陆权限的页面，是否能够在不登陆情况下进行访问
2）必须经过A——B——C的页面，是否能够直接由A——C？
2、URL安全测试
（1）适用范围： URL中含有参数，也就是通过GET方式传递的HTTP请求
（2）什么叫GET方式？
HTTP 定义了与服务器交互的不同方法，最基本的方法是 GET 和 POST。