浏览器地址栏就是上示一台裸奔的广播电台。你输入的请求每一个GET请求参数，都明晃晃地挂在URL上，参数像商场橱窗里的上示模特，谁路过都能看两眼。请求这事儿不是参数秘密，但大多数人压根没意识到，上示自己每次点链接、请求搜商品、参数翻页面，上示都在往这根地址栏上贴便签条。请求

举个最直观的参数例子。你在淘宝搜“机械键盘”，上示地址栏立刻变成这样：https://s.taobao.com/search?请求q=机械键盘&type=product。那个q后面跟着的参数就是你的搜索词。这还不算完，翻到第二页，URL尾巴上会多出&s=44，第三页变成&s=88。这些数字和参数，就是你和服务器之间的对话记录，每一句都写在公共黑板上。

有人会说，这有啥？我搜的东西又不违法。但问题在于，URL里的参数远不止搜索词。有些网站会把用户ID塞进去，比如?user_id=123456，有些会把来源渠道标出来，?utm_source=wechat，还有些更夸张，直接把筛选条件、排序方式、当前页码全堆上去。你想想，当你在一个论坛里点开某个用户的个人主页，地址栏里赫然显示?uid=88888，这等于告诉全世界——我正在看这个人的资料。

真正的风险在于分享和转发。微信里甩一个链接，别人复制粘贴，URL上的参数原封不动跟着走。要是链接里恰好带着?token=abc123或者?session_id=xyz，那等于把钥匙交到陌生人手里。别觉得夸张，早年很多网站就是这么干的，把会话标识直接放在URL里，后来被骂惨了才改成cookie。但直到今天，你去某些老旧的政务系统或者小型电商网站，照样能看到这种裸奔的session。

还有个更隐蔽的坑——Referer头。你以为自己只是默默访问了一个页面，但浏览器在请求页面里的图片、脚本、样式时，会自动带上当前页面的URL作为Referer。也就是说，你访问了https://example.com/secret?keyword=比特币，页面里嵌着第三方统计代码，那个第三方服务器就能从Referer里看到你完整的URL，包括那个keyword参数。这就是为什么有些网站会在链接上加上rel="noreferrer"，就是为了切断这条泄露路径。

我自己就吃过亏。几年前在某论坛看到一个帖子，链接是https://bbs.example.com/thread?pid=1024&from=search，我复制发给朋友，结果朋友点开直接跳转到那个帖子的楼主主页。因为那个pid参数既是帖子ID，又关联了用户信息。更尴尬的是，URL里还残留着&highlight=傻逼，那是我之前在搜索框里输入的关键词。朋友截图问我：“你最近在搜啥？”我哑口无言。

所以，别把URL当成私密记事本。你在地址栏里敲下的每个参数，都是写给服务器看的明信片——邮差能看，邮局能看，路上捡到的人也能看。如果不想让别人知道你在干什么，别把敏感信息塞进GET请求。该用POST的用POST，该加密的加密，该用token的用token。但话说回来，作为普通用户，你能做的有限——唯一靠谱的习惯是：分享链接之前，先扫一眼地址栏，把那些?后面的尾巴删干净。别嫌麻烦，这比密码设成八个8还重要。