PHP应用需严格过滤用户输入以防HTTP响应拆分攻击：一、清洗header()参数中的CR/LF及编码变体；二、禁用直接拼接超全局变量，改用白名单或URL解析验证；三、启用HSTS、X-Content-Type-Options等安全头；四、优先使用Laravel/Symfony等框架内置防护；五、部署WAF规则拦截CRLF序列。
如果PHP应用程序在生成HTTP响应头时未对用户输入进行严格过滤，则可能被利用实施HTTP响应拆分攻击。攻击者通过注入回车符（%0d）和换行符（%0a）来伪造响应头或插入额外的HTTP响应体，从而劫持会话、实施缓存污染或触发XSS。以下是防止该攻击的多种方法：
一、过滤输出到Header()中的用户数据
HTTP响应头中禁止出现任何未经处理的用户可控输入。必须对所有传入header()函数的值执行字符清洗，移除CR（\r）、LF（\n）及其URL编码变体。
1、使用str_replace()显式剔除危险字符：
将\r、\n、%0d、%0a、%0D、%0A全部替换为空字符串。
2、定义白名单正则表达式：
仅允许ASCII字母、数字、下划线、连字符、点号及指定安全符号，其余一律拒绝。
立即学习“PHP免费学习笔记（深入）”；
3、调用filter_var()配合FILTER_SANITIZE_STRING（PHP 8.1已弃用，需改用自定义回调）或自行实现trim+preg_replace组合清洗。
二、避免直接将用户输入写入响应头
设计层面应杜绝将$_GET、$_POST、$_COOKIE等超全局变量内容未经校验即拼接进header()调用。应采用映射表或预定义键值替代动态值，从根本上消除注入路径。
1、将跳转目标URL限定为站内白名单路径：
例如只允许重定向至'/user/profile'、'/dashboard'等预设路由。
2、对Location头参数使用parse_url()解析并验证scheme是否为https或http，host是否匹配可信域名。
3、若必须传递外部URL，先经urlencode()编码再拼入Location头，且确保编码后结果不含原始\r\n序列。
三、启用HTTP严格传输安全与安全头策略
虽然不直接阻止响应拆分，但可降低攻击成功后的危害范围。通过添加安全响应头，限制浏览器对恶意响应的执行能力，形成纵深防御。
1、在所有响应开头调用header('Strict-Transport-Security: max-age=31536000; includeSubDomains')强制HTTPS。
2、设置header('X-Content-Type-Options: nosniff')防止MIME类型嗅探导致脚本误执行。
3、添加header('Content-Security-Policy: default-src \'self\'')限制资源加载来源，削弱注入HTML/JS的效果。
四、使用框架内置防护机制
主流PHP框架（如Laravel、Symfony）在响应头构造层已默认过滤控制字符。启用其原生重定向与响应生成接口，可规避手工调用header()的风险。
1、在Laravel中使用return redirect()->to($url)而非header("Location: $url")，框架自动清理目标URL。
2、Symfony中调用Response::create()->headers->set('X-Custom', $value)，其HeaderBag内部会对值做normalize处理。
3、CodeIgniter 4的response()->redirect($uri)方法会对$uri执行uri_string()校验与encode_special_chars()清洗。
五、部署Web应用防火墙（WAF）规则
在网络边界层识别并拦截含CRLF序列的请求参数，作为最后一道防线。适用于无法立即修改代码的遗留系统。
1、在Nginx配置中添加map指令检测$request_uri与$query_string是否含%0d%0a或\r\n模式。
2、Apache .htaccess中使用RewriteCond匹配%0d|%0a|\r|\n，并配合RewriteRule返回400状态码。
3、云WAF（如Cloudflare、阿里云WAF）启用“HTTP响应拆分攻击”特征规则集，实时阻断恶意请求。
