HTTPヘッダ・インジェクション
Webアプリケーション開発者は、HTTPヘッダを単なる文字列として直接出力することを避け、ヘッダ出力のために実行基盤が提供するAPIを使うべきである。
この種のインジェクション攻撃に対する対応の原則は、出力中に現れる特殊文字をエスケープすることである。HTTPヘッダそのものにはエスケープ処理が定義されていないが、値がURIであれば、%xxという形式のURLエンコードを使える可能性がある。また、そもそも正当な応答の値に改行が含まれる可能性がなければ、入力エラーとしてそのような値を拒否することも考えられる。
入力値がコピーされる可能性が高いHTTPヘッダとしては、リダイレクト処理で使われるLocation、セッション管理でよく使われるSet-Cookie(およびSet-Cookie2)が挙げられる。