如何避免HTTP标头注入（新行字符）

Question

我有时在php函数header使用用户数据，如下所示：

header('Location : test' . $user_data);

我曾经删除\\n和\\r来防止标题注入，但是还有其他新的行字符吗？ 我在我的示例中写了Location ，但它可能是其他的东西，我知道我必须验证和清理URL，我的问题是关于标题中的新行。

Answer 1

引用文档 ：

（从4.4.2和5.1.2开始）此函数现在可以防止一次发送多个标头，以防止标头注入攻击。

所以我想即使你已经做过的CRLF替换也没有必要。