php - PHP は「HTTP レスポンス分割」の脆弱性の影響を受けませんか?

Question

<?php
setcookie('test', "test\r\n<script>alert(1)</script>");
echo 1;

しかし、PHP は自動的にエンコーディングを行うことがわかりました。

Set-Cookie: test=test%0D%0A%3Cscript%3Ealert%281%29%3C%2Fscript%3E

PHP でHTTP レスポンス分割を再現することは不可能ということですか?

Answer 1

リンクされたウィキペディアの記事から：

[...] 応答分割は PHP に固有のものではありませんが、バージョン 4.4.2 および 5.1.2 以降、PHP インタープリターには攻撃に対する保護が含まれています。^[1]

headersetcookie応答/ヘッダー分割に対する軽減策が含まれています。不可能です。