Vlad__i__mir по аналогии с теми, что писал до этого для обновления полей через web-apiтак о чем я и сказал с самого начала - бездумно скопипастил


Если метод делает по сути Get и не изменяет данные на сервере, то зачем тогда делать POST-метод запроса для этого метода. Сделай GET и смыслы совпадут

В GET внезапно никто не запрещает передавать тело

пользователь может посмотреть, что уходит на сервер, что при POST, что при GET - это вообще не аргумент

Это касалось обычных переходов по страницам - тогда пользователю проще вбить какую-то инъекцию прям в адресную строку, чем эмулировать POST-запрос, но не сильно сложнее.

У тебя нет адресной строки, ты с аяксом и вебапи работаешь, то, что ты "слыхал", сюда не применимо. Это о том, что ты должен понимать те вещи, которые ты используешь, а не просто пользоваться слухами (вот я слышал, что с пятого этажа прыгать полезно)


но непонятно, ты собираешься писать код, уязвимый к инъекциям (неважно, sql или просто подмене данных)? Ну поздравляю. Какая тогда тебе разница, GET или POST - уязвимость - она и есть уязвимость.

ну и флаг им в руки. Кто-то придумывает свои стандарты, кто-то пользуется существующими