在 php 5.5.1 / apache 2.4.6 中忽略带有下划线的标题名称

Question

升级到 php 5.5.1 和 apache 2.4.6 后，检查某些标头现在已损坏（特别是检查 HTTP_X_REQUESTED_WITH）。

通过进一步的测试，我注意到任何包含下划线的自定义标头都会被忽略（我的意思是它不会出现在 PHP 的 $_SERVER 数组中）。因此，如果我添加一个名为my-header 的标头，它会以$_SERVER['HTTP_MY_HEADER'] 的形式提供，但如果我尝试添加一个标头my_header，它在$_SERVER 中将不可用。

Answer 1

这是 apache 2.4 中记录的功能。见httpd.apache.org/docs/trunk/new_features_2_4.html

将标头转换为环境变量比 在通过以下方式减轻一些可能的跨站点脚本攻击之前 标头注入。包含无效字符的标头（包括 下划线）现在被静默删除。