PHP免疫"HTTP响应拆分"漏洞吗？

Question

<?php
setcookie('test', "test\r\n<script>alert(1)</script>");
echo 1;

但事实证明PHP自动执行编码:

Set-Cookie: test=test%0D%0A%3Cscript%3Ealert%281%29%3C%2Fscript%3E

这是否意味着在PHP中重现HTTP响应拆分是不可能的？

Answer 1

来自链接的维基百科文章:

[...]虽然响应拆分不是特定于PHP,但PHP解释器包含自版本4.4.2和5.1.2以来的攻击保护.^[1]

header并setcookie包含针对响应/标头拆分的缓解措施.这是不可能的.