Header may not contain more than a single header, new line detected.について

Question

サーバーのログをみていたら下記のようなエラーがありました。

PHP Warning: Header may not contain more than a single header, new line detected.

referer: http://www.sample.com/link.php?id=60&url=http%3A//aaaaaaaa%0Awww.bbbb.com%2F%3Fdata%3Duser2%26item%3Dlist

エラー箇所を見てみると

$url = urldecode($_GET[url]);
header("Location: $url");

というものでした。

上記のように当サイトからでない外部のURLでリダイレクトしているようで、そのURLには改行がありました。

たぶん、これがエラーの原因だと思うのですが、外部の人が上記のようにいじることができないようにすることは可能でしょうか？

Answer 1

クエリ文字列でURLを受け渡しする以上、「外部の人が上記のようにいじることができないようにする」ことは不可能です。
セッション変数で受け渡しするか、外部の人がいじることは許容して、URL中に改行がないかチェックするか、くらいです。
また、提示されたスクリプトだとオープンリダイレクトの脆弱性があります。遷移先が、意図したドメインかどうかのチェックを行う必要があります。

ところで、urldecode関数は必要なのでしょうか? $_GETにセットする時点で一度urldecodeされているわけですから、二重にパーセントエンコードすることを想定した形になっているようですが、二重にする必要がありますか?

Comments

[minoru23]

アドバイスありがとうございます。

「遷移先が、意図したドメインかどうかのチェックを行う必要」のやり方がわからないのですが、
下記サイトのように「特定ドメインからの訪問者だけに表示する」で対処するのはあまり良くないでしょうか？
https://lp.olivesystem.jp/831.html

「二重にする必要がありますか?」おっしゃるとおりです。修正しておきます。