nginx-0.7.15

[Maxim Dounin]

Hello!

On Mon, Sep 08, 2008 at 12:40:29PM +0400, Igor Sysoev wrote:

>Изменения в nginx 0.7.15                                          08.09.2008

[...]

>    *) Добавление: теперь nginx разрешает подчёркивания в именах строк в 
>       заголовке запроса клиента.

BTW, в результате конструкция вида

      proxy_set_header  X-Permit-Something  "OK";

(где OK или нет определяется скажем из ip-адреса клиента) с 
последующей проверкой на бекенде в cgi-скрипте под Apache 
как-нибудь вроде

      if ($ENV{HTTP_X_PERMIT_SOMETHING} eq 'OK') {
          ...
      }

становится небезопасной, т.к. клиент может передать заголовок 
X_Permit_Something ('_' вместо '-'), этот заголовок не будет убран 
nginx'ом из запроса и в запросе к Apache будет стоять после 
заголовка X-Permit-Something, добавленного nginx'ом.  Apache в 
свою очередь в переменную окружения HTTP_X_PERMIT_SOMETHING 
поместит именно последний пришедший в запросе заголовок (т.е. 
заголовок от клиента).

Т.е. надо явно в конфигурации ещё и говорить

      proxy_set_header X_Permit_Something "";
      proxy_set_header X-Permit_Something "";
      proxy_set_header X_Permit-Something "";

Возможно имеет смысл такие заголовки убирать автоматически.

Maxim Dounin