php - 在 php 5.5.1/apache 2.4.6 中忽略带下划线的 header 名称

Question

升级到 php 5.5.1 和 apache 2.4.6 后，对某些 header 的检查现在已损坏(特别是检查 HTTP_X_REQUESTED_WITH)。

通过进一步的测试，我注意到任何包含下划线的自定义 header 都会被忽略(我的意思是它不会出现在 PHP 的 $_SERVER 数组中)。因此，如果我添加一个名为 my-header 的 header ，它会以 $_SERVER['HTTP_MY_HEADER'] 的形式可用，但如果我尝试添加一个 header my_header，它在 $_SERVER 中不可用。

Answer 1

这是 apache 2.4 中记录的功能。参见 httpd.apache.org/docs/trunk/new_features_2_4.html

Translation of headers to environment variables is more strict than before to mitigate some possible cross-site-scripting attacks via header injection. Headers containing invalid characters (including underscores) are now silently dropped.