此外，如果您正在构建一个ReSTful API，浏览器泄漏和http引用程序问题将在很大程度上得到缓解，因为客户端可能不是浏览器，您可能没有人点击链接。

如果是这种情况，我建议登录oAuth2以获得一个不记名令牌。在这种情况下，唯一的敏感数据将是初始凭证……无论如何，这应该在post请求中

整个请求和响应都是加密的，包括URL。

请注意，当你使用HTTP代理时，它知道目标服务器的地址(域)，但不知道该服务器上的请求路径(即请求和响应始终是加密的)。

正如其他答案已经指出的，https“url”确实是加密的。然而，解析域名时您的DNS请求/响应可能不是，当然，如果您使用浏览器，您的url也可能被记录。

链接到我对重复问题的回答。URL不仅在浏览器历史记录中可用，服务器端日志也可以作为HTTP Referer头发送，如果您使用第三方内容，则会将URL暴露给您控制之外的来源。

是也不是。

服务器地址部分不加密，因为它是用来建立连接的。

这种情况可能会随着加密的SNI和DNS而改变，但截至2018年，这两种技术都不常用。

路径、查询字符串等都是加密的。

注意，对于GET请求，用户仍然可以从位置栏中剪切和粘贴URL，并且您可能不希望将机密信息放在那里，因为任何人都可以看到屏幕。

Marc Novakowski的回答很有帮助——URL存储在服务器的日志中(例如，在/etc/httpd/logs/ssl_access_log中)，所以如果你不想让服务器长期保存这些信息，就不要把它放在URL中。