题干与适用场景
RFC 10008 在 2026 年 6 月定义了 HTTP QUERY 方法。它允许客户端把描述查询的内容放在请求体中，同时声明对目标资源是 safe、idempotent 的操作。题目考察协议语义与基础设施现实之间的差距，不要求把所有现有 POST 搜索接口立即迁移。
面试官考察点
面试官会看你是否理解 QUERY 不是“带 body 的 GET 别名”，而是一种独立方法：请求体和媒体类型参与查询语义，响应缓存键必须考虑请求内容，跨域通常需要预检。强回答还会讨论 OPTIONS 或 Accept-Query 能力发现、未知方法的 405 回退、网关日志与 WAF 兼容性。
回答前需要澄清的问题
查询是否真的只读
确认查询不会改变目标资源状态。safe 和 idempotent 约束的是目标资源语义，服务器仍可能创建用于承载结果的额外资源，不能把“无副作用”理解成绝对没有写入。
生态支持范围
列出浏览器 Fetch、SDK、反向代理、CDN、WAF、服务网格和内部客户端是否接受 QUERY。新方法即使在应用服务器可用，也可能在中间层被拒绝或改写。
缓存和隐私要求
查询体可能包含敏感筛选条件。确认哪些层会记录请求 URI、请求体和缓存键，并决定是否允许共享缓存、是否需要脱敏或改用 POST。
30 秒回答框架
“QUERY 适合把复杂查询放入请求体，同时保留安全、幂等和可缓存的协议意图。我会先用 OPTIONS 的 Allow 或响应的 Accept-Query 发现能力，再在真实代理、CDN、WAF 和客户端矩阵中做兼容性验证。缓存键必须包含请求体和相关媒体类型，跨域请求要处理预检。若生态尚未支持，我会保留 GET 的短查询和 POST 的兼容路径，不把 RFC 的语义直接当成基础设施已经完成升级。”
分步骤深入解答
第一步：判断 GET、QUERY、POST 的边界
短小、可书签、可复制的查询仍适合 GET；查询体复杂但目标资源只读时可评估 QUERY；若操作会改变状态、生态不支持新方法或需要现有表单兼容，则继续使用 POST。方法选择应由语义和部署矩阵共同决定。
第二步：定义内容类型和服务契约
QUERY 必须带有与请求内容一致的 Content-Type。契约应说明查询格式、分页、排序、错误响应和结果是否可通过 Content-Location 或 Location 另行 GET 获取。
第三步：做能力发现和安全回退
用 OPTIONS 的 Allow 或 Accept-Query 表明资源支持的方法和查询媒体类型。客户端遇到 405、415 或网关拒绝时，按明确策略回退到 POST，不能盲目重试导致重复流量。
第四步：设计缓存与重试
QUERY 是幂等的，可以在连接失败后重试，但缓存键必须纳入请求体和相关元数据。规范化请求体时要确保缓存层与源站语义一致，否则可能把一个查询结果错误地提供给另一个查询。
第五步：验证跨域与运营链路
QUERY 不属于 CORS safelisted methods，浏览器跨域会触发预检。验证 OPTIONS、Allow、日志、指标、WAF 规则、限流和追踪链路都能识别新方法，并记录回退比例和错误原因。
高质量示范回答
我不会因为 RFC 10008 发布就批量替换 POST。对小型、可分享的过滤请求继续使用 GET；对只读但查询体很大、需要明确方法语义的接口，才在受控客户端中试用 QUERY。服务端要求正确的 Content-Type，用 Accept-Query 或 OPTIONS 宣布支持；缓存键包含请求体和媒体类型，跨域客户端完成预检。发布前我会让浏览器、SDK、网关、CDN、WAF 和服务网格通过一组真实查询，观察 405、415、缓存错配和日志截断。若任一关键层不支持，就保留 POST 回退并监控使用比例，直到迁移证据充分。
常见错误
- 错误表现： 把 QUERY 当成可以带 body 的 GET。→ 失败原因： 方法语义、缓存和能力发现规则不同。→ 修正方法： 按 RFC 定义请求体、safe、幂等和缓存键。
- 错误表现： 只在应用服务器上测试。→ 失败原因： 代理、WAF、CDN 或 SDK 可能拒绝未知方法。→ 修正方法： 做全链路兼容性矩阵并准备 POST 回退。
- 错误表现： 缓存只按 URI 建键。→ 失败原因： 不同请求体可能得到错误共享结果。→ 修正方法： 将请求体和相关元数据纳入键，并验证规范化规则。
- 错误表现： 认为幂等意味着可以无限重试。→ 失败原因： 重试仍会消耗资源，并可能放大查询负载。→ 修正方法： 配合超时、退避、限流和查询复杂度上限。
追问及应对
追问一：为什么不把所有复杂查询都改成 QUERY？
方法语义只是一个条件；客户端、代理、CDN、WAF 和监控需要共同支持。迁移成本和回退复杂度超过收益时，继续使用成熟的 POST 更稳妥。
追问二：QUERY 的响应能缓存吗？
可以，但缓存键必须包含请求内容与相关元数据，且缓存层要理解媒体类型。若结果含敏感数据或规范化风险高，应限制共享缓存或通过等价资源的 GET 访问。
追问三：浏览器跨域调用会发生什么？
QUERY 不在 CORS safelisted methods 中，会触发预检。服务端必须正确响应 OPTIONS，并允许实际方法、请求头和来源；预检失败时应显示明确的客户端错误。
追问四：未知网关返回 405 怎么办？
读取 Allow 判断支持方法，按版本化客户端策略回退到 POST。记录回退原因和比例，避免把未知方法错误当成业务查询失败。