如何避免 HTTP 标头注入（换行符）答案

【问题标题】：How to avoid HTTP Header Injection (new lines characters) [duplicate]如何避免 HTTP 标头注入（换行符）
【发布时间】：2012-07-06 23:15:19
【问题描述】：

我有时在 php 函数 header 中使用用户数据，如下所示：

header('Location : test' . $user_data);

我曾经删除 \n 和 \r 以防止标头注入，但还有其他换行符吗？我在我的例子中写了Location，但它可以是别的东西，我知道我必须验证和清理 URL，我的问题是关于标题中的新行。

【问题讨论】：

【解决方案1】：

引用the doc:

（自 4.4.2 和 5.1.2 起）此功能现在可以防止多个标头立即发送以防止标头注入攻击。

所以我想即使你已经做过的 CRLF 替换也没有必要。

【讨论】：

（假设正在使用 >4.4.2 或 >5.1.2。）
是的，但是你接着说“所以我想即使你已经做过的 CRLF 替换也没有必要。”这是做出这样的假设，所以如果有人跳过引用，他们会假设他们也不必这样做（人们不阅读哈哈）。
谢谢！我没有注意到这一点。 PHP 发送警告（我刚刚尝试过），并且没有进行重定向（但我的问题仍然有效，因为我的应用程序与 PHP 5.1.X 兼容，所以我现在无法接受您的回复（也许稍后，我现在投票 +1））
我知道它很旧，但我今天（2017 年 1 月 6 日）才发现，使用 PHP 5.2.17，PHP 只允许使用 CR 的多行标题（\r，ASCII 13，%0D） , 不幸的是它被 Chrome 浏览器视为一个新行，允许标头注入。我希望它对查看此页面的人有用。