PHP 8.3 本身不新增重定向安全机制，但可通过只读属性锁定白名单、严格校验跳转地址（仅允许相对路径或预设域名）、清除控制字符及服务端配置兜底，有效防御 header 注入攻击。
PHP 8.3 本身不新增重定向安全机制，但结合语言特性与最佳实践，能有效防止 header 注入攻击——核心在于严格校验跳转目标、禁用用户可控的原始 Host/Referer 构造 Location 头，并统一使用白名单或相对路径控制重定向逻辑。
重定向前必须验证跳转地址
所有重定向（如登录后跳回来源页）都应避免直接使用 $_GET['redirect'] 或 $_SERVER['HTTP_REFERER'] 拼接 Location 头。攻击者可构造 https://evil.com?x=1%0D%0ALocation:%20http://hacker.com，利用换行符注入额外响应头。
- 只允许相对路径跳转：检查 redirect 参数是否以
/开头且不含://、:、控制字符（如\r\n） - 若需支持外部域名，必须硬编码白名单：
['https://yourapp.com', 'https://shop.yourapp.com']，再用 parse_url() 提取 host 比对 - 拒绝空值、协议缺失、含用户名密码（
@）、含 fragment（#）等可疑格式
禁止拼接不可信数据进 header()
PHP 的 header("Location: $url") 不做任何过滤。一旦 $url 含 \r\n，就可能触发 HTTP 响应头注入，进而导致 XSS、缓存污染甚至密码重置劫持。
- 永远不用
$_SERVER['HTTP_HOST']或$_SERVER['SERVER_NAME']直接生成重定向地址 - 输出前用
str_replace(["\r", "\n"], '', $url)清除换行符（仅作兜底，不能替代白名单） - 优先使用
header('Location: /dashboard', true, 302)这类固定路径，而非动态构造
利用 PHP 8.3 只读属性约束跳转配置
PHP 8.3 的 readonly 属性可确保重定向策略在初始化后不可篡改，防止运行时被意外覆盖或反射修改。
立即学习“PHP免费学习笔记（深入）”；
- 定义一个只读配置类：
class RedirectPolicy { public readonly array $allowedHosts; public function __construct() { $this->allowedHosts = ['yourapp.com', 'www.yourapp.com']; } } - 实例化后该白名单无法被修改，哪怕通过反射也无法赋值，增强策略稳定性
- 配合
filter_var($host, FILTER_VALIDATE_DOMAIN)验证输入 host 是否合规
Web 服务器层补防（Nginx/Apache）
PHP 层防护失效时，服务器配置是最后一道防线。例如 Nginx 可强制重写非法 Host 头或拦截含恶意换行的请求。
- Nginx 中添加：
if ($host !~ ^(yourapp\.com|www\.yourapp\.com)$) { return 444; } - 禁用未声明的 Host 请求：
server_name _; return 444;（默认 server 块） - Apache 可用
RewriteCond %{HTTP_HOST} !^(yourapp\.com|www\.yourapp\.com)$ [NC]拒绝非法 Host
