必须在块内配置limitrequestline，因其为服务器级指令，不支持.htaccess；推荐设为2048–4096，需重启apache并用curl实测返回414状态码验证生效。
直接在虚拟主机（<virtualhost></virtualhost>）块内配置 limitrequestline 是最推荐、最有效的方式，它能精准作用于该站点，且避免全局收紧带来的兼容性风险。
为什么必须放在 里，而不是 .htaccess
LimitRequestLine 是服务器级指令，仅在主配置文件或 <virtualhost></virtualhost> 上下文中生效。写在 .htaccess 中会被 Apache 忽略——这不是配置错误，而是设计限制，无法绕过。
具体配置步骤
打开你的虚拟主机配置文件（如 /etc/apache2/sites-available/your-site.conf 或 /etc/httpd/conf.d/vhost.conf），在对应 <virtualhost></virtualhost> 或 <virtualhost></virtualhost> 块内添加：
- 插入一行：LimitRequestLine 4096（推荐值：2048–4096，兼顾安全与兼容）
- 若同时处理含长 Token 或深度参数的请求，建议同步设置：
LimitRequestFieldSize 2048
LimitRequestFields 100 - 保存文件后，执行
sudo systemctl restart apache2（Debian/Ubuntu）或sudo systemctl restart httpd（RHEL/CentOS）
验证是否真正生效
别只信配置文件已保存——必须实测：
- 先用
apache2ctl -t或httpd -t检查语法无误 - 再用 curl 发起超长请求测试：
curl -v "http://yoursite.com/$(printf 'a' {1..4500})" - 成功时应返回 HTTP 状态码 414 URI Too Long，而非 500 或超时
特别注意的几个实际细节
有些场景容易踩坑，需提前确认：
- 如果用了
mod_proxy反向代理，LimitRequestLine只约束接入层请求，后端服务（如 Tomcat、Node.js）仍需各自设防 - 重定向链路中，302 响应头
Location若带大量参数，可能让客户端二次发起更长 GET，需检查日志中的%r字段抽样最长请求行 - 某些旧版 Java 客户端或 IoT SDK 会生成略超 4096 的合法请求，上线前务必用真实业务流量压测，而非仅靠默认值
