PHP免疫“HTTP响应拆分”漏洞吗？

Question

<?php
setcookie('test', "test\r\n<script>alert(1)</script>");
echo 1;

但事实证明PHP自动进行编码：

Set-Cookie: test=test%0D%0A%3Cscript%3Ealert%281%29%3C%2Fscript%3E

这是否意味着在PHP中重现HTTP response splitting是不可能的？

Answer 1

来自linked维基百科文章：

  

[...]虽然响应拆分不是特定于PHP，但PHP解释器包含自版本4.4.2和5.1.2以来的攻击防护。 ^[1]

header和setcookie包含针对响应/标头拆分的缓解措施。这是不可能的。