Все-таки не хватает в стандартном окружении Parser'a возможность разделения на POST/GET и вот почему:

andylars 22.07.2015 20:01 / 22.07.2015 20:02

Это элементарные превентивные меры безопасности (безотносительно токенизации)

Если не проверять метод, то можно запостить на каком-то посещаемом ресурсе, вот такую "битую картинку":

<img src="http://yoursite/?myprofile=delete" />

Где если среди них попадутся ваши залогиненные пользователи, то они самоудалятся.

В то время, как POST так не засунешь, и внедрить форму будет посложнее, да и на каждый чих браузер будет переспрашивать про повторную отсылку данных или в этом духе.

Плюс пересылка некоторых данных, какая-никакая, но в бинарном формате, а не в адресной строке.

Понятно, что все action'ы лучше сразу закрывать токенизацией, но
так как минимум можно снять первичную паразитную нагрузку.

---