标题中使用的URL的卫生：位置？

Question

在多步骤表单处理中，我收到一个URL作为表单字段。

处理完毕后，我的PHP脚本使用header("Location: ...");

重定向到该地址

除了可能被误用作色情网站的重定向服务，以在电子邮件中生成无害的链接（打开重定向，这可以通过将URL与本地域匹配来帮助），在这个过程中是否有任何黑客/开发危险需要注意？

我想到的一件事是将新行走私到URL中，这可能会打开向客户端发送任意标头的可能性。

Answer 1

在旧版本的PHP中，你不得不担心CRLF注入是\ r \ n。这是一个“标题响应拆分漏洞”。如果你删除这些字符，那么你不必担心。在PHP的最新版本中，header（）函数是安全的，并将自动为您处理\ r \ n。