PHP 是否不受“HTTP 响应分割”的影响？漏洞？
<?php
setcookie('test', "test\r\n<script>alert(1)</script>");
echo 1;
但事实证明 PHP 会自动进行编码：
Set-Cookie: test=test%0D%0A%3Cscript%3Ealert%281%29%3C%2Fscript%3E
这是否意味着不可能重现 HTTP 响应拆分 PHP？
<?php
setcookie('test', "test\r\n<script>alert(1)</script>");
echo 1;
But it turns out PHP automatically does the encoding:
Set-Cookie: test=test%0D%0A%3Cscript%3Ealert%281%29%3C%2Fscript%3E
Does that mean it's impossible to reproduce HTTP response splitting in PHP?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
来自链接维基百科文章：
标头和setcookie包含针对响应/标头拆分的缓解措施。这是不可能的。From the linked Wikipedia article:
headerandsetcookiecontain mitigations against response/header splitting. It's not possible.