修复PHP header注入漏洞的核心是阻断用户输入直接拼接到响应头中，关键在于禁用字符串拼接、强制白名单校验或强编码（如rawurlencode）、剥离控制字符，并用硬编码或路由映射替代动态构造，辅以框架防护与CRLF兜底检测。
修复PHP header注入漏洞，核心是阻断用户输入直接拼接到响应头中的路径。关键不在“加功能”，而在“砍拼接”——只要不把不可信数据原样塞进header()、setcookie()或重定向逻辑里，风险就基本解除。
严格过滤和编码输出值
所有进入响应头的用户数据（如$_GET['redirect']、$_POST['filename']、$_SERVER['HTTP_REFERER']等）必须做白名单校验或强编码：
- 对跳转地址（Location头），只允许相对路径或预设域名白名单内的绝对URL，用
filter_var($url, FILTER_VALIDATE_URL)+ 域名比对，禁用任意协议和外部域 - 对文件名（Content-Disposition），剥离路径、控制字符和扩展名，只保留ASCII字母数字和下划线，再用
rawurlencode()编码，而非简单urlencode() - 对Cookie值（Set-Cookie），避免拼接用户输入；如必须带昵称等字段，先用
htmlspecialchars($name, ENT_QUOTES, 'UTF-8')转义，再确保不出现\r、\n、:、;等头分隔符
禁用危险的动态头构造方式
检查代码中所有调用header()、setcookie()、http_response_code()的地方，杜绝字符串拼接模式：
- ❌ 危险写法：
header("Location: " . $_GET['next']); - ✅ 安全替代：用
header("Location: /safe/default.php", true, 302);硬编码跳转目标，或通过内部路由映射表查出合法路径 - ✅ Cookie设置优先用
setcookie()的独立参数（如path、domain、secure），不拼接整个头字符串
启用框架或中间件级防护
若使用Laravel、Symfony等现代框架，利用其内置响应构造器（如response()->redirectTo()、response()->withCookie()），它们默认对输入做过滤和上下文感知编码；若为原生PHP，可封装一个安全头函数：
立即学习“PHP免费学习笔记（深入）”；
- 定义
safe_header_location($path)，内部只接受以/开头的路径，自动截断?后参数，拒绝含\r、\n、//、http:的输入 - 在入口文件（如
index.php）顶部统一注册register_shutdown_function()，扫描已发送头中是否含CRLF，发现异常立即终止响应（作为兜底）
验证与监控补位
修复后需主动验证是否真正生效：
- 用
%0d%0aSet-Cookie:test=1、%0d%0aX-Injected:yes等典型payload测试所有可能影响头的接口 - 开启Web服务器访问日志中的请求头记录（如Nginx的
$sent_http_set_cookie），定期grep含\x0d\x0a的响应，发现即告警 - 在CI/CD流程中加入SAST扫描（如PHPStan + 自定义规则），识别
header(.*\$_)类高危调用并阻断上线
