GET 和 POST 有什么区别？安全性、幂等性和参数位置该怎么理解？

知识点详解：方法名字决定的是意图，不是参数容器

读资料和提交操作，先分清接口要表达什么

假设查询某篇文章，GET /articles/42 表达获取其表示；提交一条评论，POST /articles/42/comments 表达请服务器处理评论内容。

两者都可能有查询参数，比如语言或处理选项。POST 的请求体可以承载 JSON、表单或其他内容，格式由 Content-Type 等约定表达。

把所有接口都改成 POST，确实能让你继续传数据，但会隐藏读写意图，影响缓存、链接、工具和基础设施的使用。

安全方法允许附带变化，但不该承载删改意图

读取文章时写访问日志、计数，这是服务端实现可能带来的附带效果；它不等于客户端请求删除或修改文章。

反过来，GET /delete?id=42 即使技术上能运行，也违背了安全方法的语义。浏览器预取、爬虫访问或代理重试可能在你没预料的时机触发它。

安全方法这个词并不承诺 URL 不被记录。HTTPS 保护传输链路，但应用、反向代理和浏览器历史等仍可能保存地址；把秘密塞进查询参数尤其需要谨慎。

幂等讨论的是效果，不是返回值

假设同一个删除请求执行两次，第一次删除成功，第二次返回不存在。返回值变了，但目标都处于已删除状态，这仍可能符合幂等语义。

POST 创建评论通常会新增多条，因此不能默认幂等。若客户端超时后重试，服务端需要识别这是同一次提交，还是用户真想提交两条。

业务幂等键的范围、有效期、并发处理和结果保存都要设计。只传一个 requestId，却没有唯一约束或可靠记录，不能保证避免重复。

不要把常见行为背成协议禁令

有的工具能发送带请求体的 GET，不表示所有服务器、代理和客户端都认可它的含义。公共接口尽量把查询条件放入明确约定的位置，过长或复杂查询可采用另行设计的 POST 查询接口。

HTTP 并没有统一规定 GET 参数最多只能多少字符。限制可能来自浏览器、代理、服务器或配置。缓存同样要看响应头、认证、缓存键和部署策略。

面试回答可以先用语义建立边界，再补充你熟悉的工程约束，不要用某个框架的行为替代标准。

本题机制参考：HTTP 语义 RFC 9110、MDN GET、MDN POST。

面试官继续追问

GET 的结果变化了，还算幂等吗？

可以。幂等描述请求的预期作用，资源被其他操作更新后，读取结果当然可能变化。

POST 接口能重试吗？

能，但需要确认应用语义和去重机制。不能因为网络层允许重发，就认定业务不会重复发生。

敏感查询改 POST 就足够了吗？

不够。HTTPS、授权、日志脱敏、缓存策略和数据最小化都要考虑，请求体也可能被记录。

面试速记卡

• GET：获取表示；POST：按目标资源规则处理提交内容。
• 安全：不请求状态变化，不是保证保密。
• 幂等：重复请求预期效果相同，不是响应相同。
• 参数：POST 也能带查询参数；GET body 无通用语义。
• 工程：TLS、缓存和业务幂等各自设计。