리디렉션 URL을 Location 헤더에 넣을 때 입력된 `%0d%0aSet-Cookie: ...`가 새 응답 헤더로 해석된다. 대응은?

1. 1

   헤더 값에 허용된 URL 형식만 받고 CR·LF를 거부하며 프레임워크의 안전한 헤더 API를 사용한다.

2. 2

   URL 인코딩을 한 번 적용하고 디코딩된 CR·LF는 헤더 값에 그대로 넣는다.

3. 3

   CR만 제거하고 단독 LF와 다른 줄 구분 문자는 허용한다.

4. 4

   CSP를 적용하면 서버가 생성한 추가 응답 헤더도 브라우저가 무시한다고 본다.