Abmelden: GET oder POST?

Question

In dieser Frage geht es nicht darum, wann man GET oder POST im Allgemeinen verwenden sollte; Es geht darum, welches die empfohlene Lösung für das Abmelden von einer Webanwendung ist. Ich habe viele Informationen über die Unterschiede zwischen GET und POST im allgemeinen Sinne gefunden, aber ich habe keine eindeutige Antwort für dieses spezielle Szenario gefunden.

Als Pragmatiker neige ich dazu, GET zu verwenden, weil die Implementierung viel einfacher ist als POST; man muss nur einen einfachen Link einfügen, und schon ist man fertig. Dies scheint bei der großen Mehrheit der Websites der Fall zu sein, die mir einfallen, zumindest wenn ich mich recht entsinne. Sogar Stack Overflow loggt sich mit GET aus.

Was mich zögern lässt, ist das (wenn auch alte) Argument, dass einige Web-Beschleuniger/Proxys Seiten vorcachen, indem sie jeden Link, den sie auf der Seite finden, abrufen, so dass der Benutzer eine schnellere Antwort erhält, wenn er darauf klickt. Ich bin mir nicht sicher, ob dies immer noch zutrifft, aber wenn dies der Fall wäre, dann würde theoretisch ein Benutzer mit einem dieser Beschleuniger aus der Anwendung geworfen werden, sobald er sich anmeldet, weil sein Beschleuniger den Abmeldelink finden und abrufen würde, auch wenn er ihn nie angeklickt hat.

Alles, was ich bisher gelesen habe, deutet darauf hin, dass POST sollte für "destruktive Aktionen" verwendet werden, während Aktionen, die den internen Zustand der Anwendung nicht verändern - wie Abfragen und dergleichen - mit GET behandelt werden sollten. . Die eigentliche Frage, die sich hier stellt, ist also:

Gilt das Abmelden von einer Anwendung als destruktive Aktion bzw. wird der interne Zustand der Anwendung verändert?

Answer 1

Utilice POST .

Im Jahr 2010, unter Verwendung von GET war wahrscheinlich eine akzeptable Antwort. Aber heute (2013) rufen die Browser Seiten vor, von denen sie glauben, dass Sie sie als nächstes besuchen werden.

Hier ist einer der StackOverflow-Entwickler, der über dieses Problem auf Twitter spricht:

Ich möchte mich bei meiner Bank dafür bedanken, dass sie das Abmelden zu einer GET-Anfrage gemacht hat, und beim Chrome-Team für das praktische URL-Prefetching - Nick Craver ( @Nick_Craver ) Januar 29, 2013

Spaßfakt: StackOverflow hat sich früher per GET abgemeldet, aber jetzt nicht mehr.

Answer 2

Bei REST sollte es keine Sitzung geben, also gibt es auch nichts zu zerstören. Ein REST-Client authentifiziert sich bei jeder Anfrage. Angemeldet oder abgemeldet, das ist nur eine Illusion.

Die eigentliche Frage ist, ob der Browser weiterhin bei jeder Anfrage die Authentifizierungsdaten senden soll.

Wenn Ihre Anwendung den Eindruck erweckt, dass Sie angemeldet sind, sollten Sie in der Lage sein, sich mit Javascript abzumelden. Kein Umweg erforderlich.

---

Fielding Dissertation - Abschnitt 5.1.3

jede Anfrage vom Client zum Server muss alle Informationen enthalten, die die notwendig sind, um die Anfrage zu verstehen, und kann keinen Vorteil aus einem gespeicherten Kontext auf dem Server nutzen. Sitzung Zustand wird daher vollständig auf dem dem Client

Answer 3

Hallo aus meiner Sicht, wenn Sie sich anmelden, überprüfen Sie Benutzername / Passwort und wenn diese übereinstimmen, erstellen Sie das Login-Token.

CREATE token => Methode POST

Wenn Sie sich abmelden, zerstören Sie das Token, daher sollte die logischste Methode ein DELETE sein.

DELETE-Token => Methode DELETE

Answer 4

Ein Weg GET hier missbraucht werden könnte, ist, dass eine Person (vielleicht ein Wettbewerber:) ein Bild-Tag mit src="<your logout link>" Wenn ein Nutzer Ihrer Website auf diese Seite stößt, wird er unwissentlich ausgeloggt.

Answer 5

Korrekterweise sind GET/POST (oder andere Verben) Aktionen auf eine Ressource (adressiert durch die URL) - es geht also im Allgemeinen um den Zustand der Ressource und nicht um den Anwendungszustand als solchen. Im wahrsten Sinne des Wortes sollten Sie also eine URL wie die folgende haben [host name]\[user name]\session dann wäre "DELETE" das richtige Verb für die Abmeldeaktion.

Verwendung von [host name]\bla bla\logout als URL ist nicht wirklich ein vollständiger REST-Weg (IMO), warum also über die korrekte Verwendung von GET/POST diskutieren?

Natürlich verwende ich auch GET für eine Logout-URL in meinen Anwendungen :-)