Moc hezkej je ten příklad, kdy GET request mění nějakou hodnotu. Celkem proti HTTP, ne?
Když pominu, že zapisovat hodnoty GETem by se vůbec nemělo, tak vidím hlavní problém s tom, že by prošlo to přihlášení: admin:admin@... - to je asi ten největší problém.
Pochopitelně, že tohle je jen ilustrační ukázka a skutečný škodlivý kód by byl sofistikovanější, ale i tak mi přijde divné, že by měl prohlížeč řešit zranitelnosti na straně serveru.
„Celkem proti“ ani ne, standard je v tom dost měkký:
In particular, the convention has been established that the GET and
HEAD methods SHOULD NOT have the significance of taking an action
other than retrieval. These methods ought to be considered "safe".
Dávají si tam dost záležet na tom aby bylo jasné, že to není povinné. Takže bych spíš řekl, že to jde proti dobrým mravům.