GET请求URL参数会被截断或丢失，因浏览器对URL长度有硬性限制（主流为2048–8192字符），超长部分直接丢弃，导致后端接收不完整，且此限制发生在HTTP协议层而非后端配置。
GET请求的URL参数会被截断或丢失
浏览器对URL长度有硬性限制，主流浏览器通常在2048–8192字符之间。一旦表单字段多、值长（比如带空格的中文搜索词、Base64编码片段），GET会直接丢弃超长部分，后端收到的req.query不完整，日志里常看到q=xxx...这种省略号。这不是后端配置问题，是HTTP协议层就卡死了。
常见踩坑点：
- 用
GET传富文本编辑器生成的HTML片段 → URL爆掉，参数全失 - 带多个
<input type="hidden">的筛选表单 → 拼接后轻松突破4KB - action本身含查询参数（如
action="/search?tab=active"）→GET提交时，这些原始参数会被覆盖或忽略，只留下表单字段
POST必须配对enctype才能上传文件
原生<form>标签中，method="post"只是把数据塞进请求体，但默认编码类型是application/x-www-form-urlencoded——它只能序列化键值对，**完全不支持二进制文件**。如果你没写enctype="multipart/form-data"，<input type="file">字段在后端就是空的，PHP里$_FILES为空数组，Node.js里req.file为undefined。
关键细节：
立即学习“前端免费学习笔记（深入）”；
-
enctype只对POST生效，GET无视它 - 设了
enctype="multipart/form-data"后，普通文本字段也会被包进 multipart body，后端需用对应解析器（如 Express 的multer，不是body-parser） - 如果表单同时含文件和大量文本字段，
multipart比urlencoded体积更大，但这是唯一合法路径
后端接收逻辑完全不同，混用会拿不到数据
GET 和 POST 在服务端根本走两套取参机制，框架不会自动合并。Express 中req.query只读 URL 查询参数，req.body只读请求体；Flask 里是request.args vs request.form；PHP 是$_GET vs $_POST。写反了，参数就“消失”了。
典型错误场景：
- 前端用
method="get"，后端却查req.body→ 一直为空 - 前端用
method="post"但没配body-parser或multer中间件 →req.body始终是undefined - 在 AJAX 场景下手动发
POST但Content-Type设成application/json→ 原生<form>根本不支持这个类型，必须用fetch或XMLHttpRequest
安全性不是加密，而是暴露面控制
很多人误以为POST = “加密传输”，其实不然。HTTP明文下，GET 和 POST 的数据同样能被代理、抓包工具（如 Wireshark、Fiddler）完整捕获。区别只在于：GET 把参数直接打在 URL 里，会出现在服务器访问日志、浏览器历史、公司网关审计记录、CDN 缓存 URL 中；POST 的参数只存在于请求体，至少不会被日志批量记录。
真正该警惕的边界：
- 密码、token、身份证号等绝不能走
GET，哪怕页面是 HTTPS —— URL 泄露风险远高于请求体 -
GET请求可被 CDN、浏览器、ISP 缓存，一个带?token=xxx的 GET 请求可能被缓存数小时，别人点链接就复用你的凭证 - 刷新 POST 页面触发“确认重新提交”提示，是浏览器在帮你防重复提交；而 GET 刷新毫无感知，容易导致多次下单、点赞
