別にしなくてもいいんじゃないかな?
「POSTでも攻撃はできる」は確かにできるけど、
それはあくまで変数を取得したときだから