今天tcpper让我帮忙测一个url，结果无意发现微软似乎在某个补丁中针对utf-7 bom 做了些限制。
win7+ie8下测试：
ie识别网页的编码顺序 依然是 bom >server content-type中的 charset……
但如果server content-type中设置了charset，且BOM 为UTF-7的，则以server content-type中的 charset 为主。
测试代码：
<?php
header('Content-Type:text/html;charset=utf-8');
echo file_get_contents('utf7bom.txt');
其中，utf7bom.txt内容为：+/v8 +ADw-script+AD4-alert(1)+ADw-/script+AD4-
访问后，网页的编码为utf-8，而非utf-7。
当然，去掉上述标红的charset=utf-8，就还以UTF-7 bom为主，弹出1 。
在此顺便补充下，黑哥页面那个css下 UTF-7 bom造成的xss，即使服务器对xxx.css的content-type设置为text/css;charset=utf-8，在当前的补丁下，浏览器仍以UTF-7 bom为主。因为IE下style、link标签引入子资源，是无视其子资源的content-type设置的。（之前不就为了修复某 漏洞 ，才强制检查跨域的css文件的conten-type是否为text/css么？）
from：imread('暗夜潜风')
查看更多关于utf-7 bom后续 - 网站安全 - 自学php的详细内容...