PHP如何防止HTTP响应拆分攻击_PHP防止HTTP响应拆分攻击方法【安全】

HTTP响应拆分攻击听起来像是老生常谈，但在实际开发中，只要PHP应用在处理响应头时对用户输入稍有不慎，攻击者就能通过注入回车符（%0d）和换行符（%0a）伪造响应头、插入额外响应体，进而劫持会话、污染缓存甚至触发XSS。要封堵这个漏洞，其实并不复杂，关键在于把住每一道关口。下面就从最基础的代码层面讲起，逐步深入到架构和防御策略。

一、过滤输出到Header()中的用户数据

任何即将传入header()函数的值，都必须经过严格的字符清洗。CR（\r）、LF（\n）以及它们的URL编码变体（%0d、%0a等）是首要清除对象。

具体做法有三条路可选：

1. 直接用str_replace()把上述危险字符替换为空字符串，简单粗暴但有效。

2. 定义一个白名单正则表达式，只允许ASCII字母、数字、下划线、连字符和点号等安全符号，其余一律拒绝。这相当于从源头掐断注入的可能。

3. 调用filter_var()配合FILTER_SANITIZE_STRING（注意PHP 8.1已弃用该过滤器，建议改用自定义回调函数），或者自行实现trim加preg_replace的组合清洗。

二、避免直接将用户输入写入响应头

设计层面就应该杜绝将$_GET、$_POST、$_COOKIE等超全局变量未经校验就拼接到header()调用中。更好的做法是使用映射表或预定义键值来替代动态值，从根本上消除注入路径。

具体可以这样落地：

1. 将跳转目标URL限定为站内白名单路径，比如只允许重定向到'/user/profile'、'/dashboard'等预设路由。

2. 对于Location头参数，先用parse_url()解析并验证scheme是否为https或http，host是否匹配可信域名。

3. 如果确实需要传递外部URL，先通过urlencode()编码再拼入Location头，并且确保编码后的结果不包含原始\r\n序列。

三、启用HTTP严格传输安全与安全头策略

这类措施虽然不能直接阻止响应拆分攻击，但能把攻击成功后的危害降到最低。通过添加安全响应头，可以限制浏览器对恶意响应的执行能力，形成纵深防御。

建议配置以下三个关键头：

1. 在所有响应开头调用header('Strict-Transport-Security: max-age=31536000; includeSubDomains')，强制HTTPS连接。

2. 设置header('X-Content-Type-Options: nosniff')，防止MIME类型嗅探导致脚本误执行。

3. 添加header('Content-Security-Policy: default-src \'self\'')，限制资源加载来源，削弱注入HTML或JS的效果。

四、使用框架内置防护机制

主流PHP框架（如Lara vel、Symfony）在响应头构造层已经默认过滤了控制字符。与其手动调用header()提心吊胆，不如直接使用框架提供的原生重定向与响应生成接口。

几个典型场景：

1. Lara vel中，使用return redirect()->to($url)而非header("Location: $url")，框架会自动清理目标URL。

2. Symfony中，调用Response::create()->headers->set('X-Custom', $value)，其HeaderBag内部会对值做normalize处理。

3. CodeIgniter 4的response()->redirect($uri)方法会对$uri执行uri_string()校验与encode_special_chars()清洗。

五、部署Web应用防火墙（WAF）规则

作为最后一道防线，在网络边界层识别并拦截含有CRLF序列的请求参数，尤其适用于那些无法立即修改代码的遗留系统。

三种常见实现方式：

1. 在Nginx配置中添加map指令，检测$request_uri与$query_string是否包含%0d%0a或\r\n模式。

2. Apache的.htaccess中使用RewriteCond匹配%0d|%0a|\r|\n，并配合RewriteRule返回400状态码。

3. 云WAF（如Cloudflare、阿里云WAF）启用“HTTP响应拆分攻击”特征规则集，实时阻断恶意请求。