質問: WebAPIをPHP(cURL)で取得しています。 一般的にはPOSTメソッドの方がサーバのアクセスログにパラメータが残らないためセキュリティが高いと聞きますが、 WebAPIの場合はGETメソッドでも問題ないでしょうか? WebAPIサーバのアクセスログなので気にする必要はないと認識しているのですが、間違っていますか?
回答: 一般論としては、GETで秘密情報を渡すことは「好ましくない」と言われています。その理由の一つとして、ご指摘のように、アクセスログに秘密情報が平文でのってしまうことがあります。 たとえば、パスワードやトークン、セッションID、クレジットカード情報などは、GETのパラメータ(クエリ文字列)に載せることは避けるべきです。管理者がうっかり、あるいは故意に見てしまう、不正アクセスの際に暗号化やハッシュされない状況で漏洩してしまう、などのリスクが考えられます。