php - PHP 对“HTTP 响应拆分”漏洞免疫吗？

Question

<?php
setcookie('test', "test\r\n<script>alert(1)</script>");
echo 1;

但事实证明 PHP 会自动进行编码：

Set-Cookie: test=test%0D%0A%3Cscript%3Ealert%281%29%3C%2Fscript%3E

这是否意味着不可能在 PHP中重现HTTP 响应拆分？

Answer 1

从链接的维基百科文章：

[...] 虽然响应拆分并非特定于 PHP，但 PHP 解释器包含针对 4.4.2 和 5.1.2 版本以来的攻击的保护。^[1]

header并setcookie包含针对响应/标头拆分的缓解措施。这是不可能的。