Для endpoint, который принимает логин и пароль и возвращает профиль пользователя, выбрать GET или POST и почему?

Используйте POST с логином и паролем в теле по HTTPS: вход создаёт или обновляет сессию, а секреты не должны попадать в URL.

GET с query может оставить пароль в истории, логах и промежуточных системах. Сам POST не шифрует данные — нужен TLS. Ограничьте частоту попыток, не логируйте тело с паролем и возвращайте профиль без секретных полей.