GETリクエストがサーバー上のデータを変更しないのはなぜですか？

インターネット全体で、次のアドバイスが表示されます。

GETはサーバー上のデータを変更してはいけません-そのためにPOSTリクエストを使用してください

この考えの根拠は何ですか？

データベースにデータを挿入するphpサービスを作成し、GETクエリ文字列でパラメーターを渡すと、なぜ間違っているのですか？（SQLインジェクションを処理するために、準備済みステートメントを使用しています）。POSTリクエストは何らかの方法でより安全ですか？

または、これには何らかの歴史的な理由がありますか？もしそうなら、このアドバイスは今日どのくらい有効ですか？

これはアドバイスではありません。

A GETはHTTPプロトコルでこのように定義されます。それはdem等で安全であることになっています。

理由については-をGETキャッシュしてブラウザで更新することができます。何度も何度も。

これは、同じものをGET再度作成すると、データベースに再度挿入することを意味します。

GETがリンクになり、検索エンジンによってクロールされる場合の意味を検討してください。データベースに重複データがいっぱいになります。

また、URIの読み取り、アドレス可能度、HTTP GETおよびPOSTの使用をお勧めします。

一部のブラウザでは、リンクのプリフェッチに問題もあります。ページの作成者から指示されていなくても、リンクをプリフェッチするための呼び出しが行われます。

たとえば、ログアウトがサイトのすべてのページからリンクされた「GET」の背後にある場合、この振る舞いだけでログアウトできます。

各HTTP動詞には独自の責任があります。たとえばGET、RFCで定義されている

は、Request-URIによって識別される情報（エンティティの形式）を取得することを意味します。

POST、一方で、挿入またはより正式に

POSTメソッドは
、要求に含まれるエンティティを、要求
行のRequest-URIで識別されるリソースの新しい部下として受け入れることを要求するために使用されます。

このように保つ理由：

• それは非常にシンプルで、1991年以来グローバルなインターネット規模で機能しています
• 単一の責任原則に固執する
• 他の関係者GETは、情報検索およびデータマイニングの手段として機能するために使用します
• GETは、リソースの状態を決して変更しない安全な操作であると想定されます
• セキュリティ上の考慮事項は、GET事実上読み取りですが、POST事実上は書き込みです
• GETは、ブラウザー、ネットワーク内のノード、インターネットサービスプロバイダーによってキャッシュされます
• コンテンツが変更されない限り、GET同じURLがすべてのユーザーに同じ結果を返す必要があります。そうしないと、返された結果でこれまでに何も信頼できなくなります。

完全を期し、正しい使用を強制するために（ソース）：

• GETパラメータはURLの一部として渡されます。これは、デフォルトで256文字の小さく制限された長さで、一部のサーバーは4000以上の文字をサポートしています。長いレコードを挿入する場合、このデータを渡す正当な方法はありません
• とき使用して安全な接続、̶などTLS、̶URLではありません取得し、暗号化され、̶したがって、すべてTHEパラメータの̶ ̶G̶E̶T̶̶されている転送プレーンテキスト。URLは実際にはTLSで暗号化されているため、TLSは問題ありません。
• を使用してバイナリデータまたは非ASCII文字を挿入するのGETは実用的ではありません
• GET ユーザーがブラウザの[戻る]ボタンを押すと、再実行されます
• 一部の古いクローラーは、?内部にサインがあるURLのインデックスを作成しない

編集：以前、POSTはCSRFからあなたを守るのに役立つと言いましたが、これは間違っています。私はこれを正しく考えていませんでした。CSRFから保護するためにデータを変更するには、すべてのリクエストでセッションスコープの一意の非表示トークンが必要です。

インターネットの初期には、ブラウザアクセラレータがありました。これらのプログラムは、ページ上のリンクをクリックしてコンテンツをキャッシュし始めます。Google Web Acceleratorはこれらのプログラムの1つでした。これは、リンクがクリックされたときに変更を加えるアプリケーションに大混乱をもたらす可能性があります。アクセラレータソフトウェアを使用している人がまだいると思います。

プロキシサーバーとブラウザはGETリクエストをキャッシュするため、ユーザーが再びページにアクセスすると、アプリケーションにリクエストが送信されない可能性があるため、ユーザーはアクションを実行したと考えますが、実際にはしません。

データベースにデータを挿入するphpサービスを作成し、GETクエリ文字列でパラメーターを渡すと、なぜ間違っているのですか？

最も簡単な答えは、「それがGET意味するものではないから」です。

GET更新用のデータを渡すために使用することは、ラブレターを書いて、「特別オファー-今すぐ行動する！」と記された封筒に入れて送るようなものです。どちらの場合でも、受信者や仲介者がメッセージを誤って処理しても驚かないでください。

あなたのためにCRUDのデータベース中心のアプリケーションでの操作次のスキーマを使用します。

読み取り操作にHTTP GETを使用する（SQL SELECT）

更新操作にHTTP PUTを使用する（SQL UPDATE）

作成操作にHTTP POSTを使用する（SQL INSERT）

削除操作にHTTP DELETEを使用（SQL DELETE）

GETはサーバー上のデータを変更してはいけません-そのためにPOSTリクエストを使用してください

そのアドバイスと、ここでの答えはすべて間違っています。明らかに私は過度に劇的です、他の答えは素晴らしいですが、私は正確なアドバイスが与えられるべきであると信じています：

GETがサーバー上のデータを変更することはほとんどありません。そのためにPOSTリクエストを使用してください

「決して」とは言いすぎです。ここの他の回答では、「まれに」行うべき理由を正確に説明していますが、GETでデータを変更することが完全に妥当なシナリオもあります。例として、1回限りのメール確認リンクがあります。通常、これらのリンクには、アクセス時にデータを変更する必要があるGUIDが含まれています。正しく実装された場合、後続の同一のGET要求は無視されます。

これは明らかにエッジケースですが、確かに注目に値します。