$pipe是Nginx日志变量，取值为“p”表示请求被判定为HTTP流水线发送，取值为“.”表示标准一问一答式交互；Nginx仅被动标记，不支持也不处理流水线，需结合抓包验证真实性。
$pipe 是 Nginx 日志模块提供的一个内置变量，用于标识当前请求是否通过 HTTP 流水线（HTTP pipelining）方式发送。它本身不参与请求处理逻辑，仅作为日志上下文中的观测标记，帮助运维或安全人员识别客户端行为模式。
什么是 $pipe 变量的取值含义
该变量在日志中只输出两个可能的字符：
- p：表示该请求是流水线化请求的一部分（即客户端在同一个 TCP 连接中连续发送了多个请求，未等待前一个响应就发出了下一个）
- .（英文句号）：表示非流水线请求，即标准的一问一答式交互
注意：Nginx 本身不启用、不支持、也不处理 HTTP 流水线——它只是被动记录客户端在 Connection 头或 TCP 行为上表现出的流水线特征。是否真正发生流水线，取决于客户端实现和底层 TCP 数据包到达顺序，Nginx 仅根据请求头解析与连接复用状态做轻量判断。
如何在日志格式中启用并验证 $pipe
需在 log_format 中显式加入 $pipe，例如：
log_format pipeline_log '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" $pipe $request_time $upstream_response_time';然后在 access_log 指令中引用该格式：
access_log /var/log/nginx/access-pipe.log pipeline_log;
重启 Nginx 后，观察日志行末尾字段：若看到 p，说明对应请求被 Nginx 判定为流水线请求；绝大多数现代浏览器（Chrome/Firefox/Safari）已禁用流水线，因此生产环境中 p 出现频率极低，常见于某些定制 HTTP 客户端、压测工具（如早期版本 wrk 或自研爬虫）或老旧移动 SDK。
为什么看到 p 不代表一定发生了有效流水线
因为 Nginx 的判定依据较宽松，以下情况也可能触发 $pipe = p：
- 客户端复用连接并快速发送第二个请求，但第一个请求尚未完全响应（即使服务端未开启 keepalive，只要 TCP 连接未关闭）
- 代理层（如 HAProxy、CDN）合并或重排了请求，导致 Nginx 收到“看似连续”的请求帧
- 抓包确认是关键：单靠日志无法 100% 确认真实流水线行为，需结合 tcpdump 或 Wireshark 抓包，查看同一 TCP stream 中是否出现多个 HTTP 请求行（如
GET /a HTTP/1.1\r\nGET /b HTTP/1.1\r\n）
换句话说，$pipe 是一个启发式线索，不是权威证据。它更适合用于异常检测（比如某 IP 短时大量 p 日志，可能暗示非常规客户端或扫描行为），而非协议合规性审计。
