Nginx 如何在 Server 块中配置客户端请求头缓冲区防止超长头部溢出

必须在server块内成对配置client_header_buffer_size和large_client_header_buffers，前者为初始缓冲（推荐2k/4k），后者单块大小须≥前者（如4 8k），且需配合client_header_timeout、underscores_in_headers等加固项。

在 Server 块中配置客户端请求头缓冲区，核心是用 client_header_buffer_size 和 large_client_header_buffers 这两个指令协同控制，不是调大单个值就能生效，必须成对设置、位置正确、参数匹配。

必须放在 server 块内，不能写在 location 或 if 里

Nginx 明确禁止将这两个指令放在 location、if 或其他嵌套块中，否则启动时会报错 directive is not allowed here。它们只在 server 级别生效，覆盖该域名或 IP 下所有请求（除非被更内层 location 显式覆盖）。

1. 正确位置：server { … } 大括号内部，且在 listen、server_name 之后，location 之前
2. 错误位置：任何 location / {...} 内部、if ($host) {...} 中、或者 http 块顶层（那是全局默认，不满足“单站”需求）

参数要匹配，避免扩容逻辑失效

client_header_buffer_size 是“第一道门”，large_client_header_buffers 是“备用通道”，二者大小关系决定是否能真正扩容：

1. client_header_buffer_size 设为初始缓冲大小，推荐 2k（普通 ）或 4k（含 JWT、多 Cookie、traceparent 的 API 场景）
2. large_client_header_buffers 格式为 数量 单个大小，例如 4 8k；其中“单个大小”必须 ≥ client_header_buffer_size，否则 Nginx 启动失败
3. 常见有效组合：client_header_buffer_size 4k; + large_client_header_buffers 4 8k;（支持最大单头 8KB，总上限 32KB）
4. 避免设成 8k + 4 4k —— 单 buffer 不够装下超长头，扩容不触发，仍返回 400

配套加固项建议一并开启

光调缓冲区只是基础，还需防慢速攻击和头解析绕过：

1. client_header_timeout 8s：限制读取请求头的总等待时间，超时即断连，防 Slow HTTP Header 攻击
2. underscores_in_headers off：禁用下划线解析，防止 X_Api_Key 被误转为 x-api-key，绕过鉴权或引发歧义
3. HTTP/2 场景额外加：http2_max_header_size 32k; 和 http2_max_field_size 4k;，否则上述配置无效

怎么验证配置是否起作用

不要只看重启成功，要结合日志和实际请求验证：

1. 检查 error.log 是否出现 request header or cookie too large —— 出现说明缓冲仍不足，需调参
2. 用 curl 构造带长 Authorization 或多段 Cookie 的请求，观察是否返回 400 或正常响应
3. 若业务有登录接口等敏感入口，可临时缩小缓冲（如 1k + 2 4k），再配合日志采样，识别异常头模式