$request_length 是 nginx 内置变量，表示客户端完整原始请求字节数（含请求行、所有请求头及请求体），不依赖解压与解析，真实反映网络层载荷；它是识别异常大报文攻击（如恶意 post、gzip 炸弹、slow body dos）的第一标尺，因不受 content-encoding 影响、不被伪造 content-length 欺骗、覆盖 header 与 body 全量长度，且能结合日志与配置实现监控、分析与防御闭环。
$request_length 是 Nginx 内置的关键变量，表示客户端发来的**完整原始请求字节数**——包括请求行（如 POST /login HTTP/1.1）、所有请求头（Host、Content-Type、Cookie 等）以及请求体（Body）的总和。它不依赖解压、不解析内容，接收完毕即固定，真实反映网络层实际载荷大小。
为什么 $request_length 是识别攻击的第一标尺
多数异常大报文攻击（如恶意填充 POST、Gzip 炸弹前置请求、Slow Body 类 DoS）都会在请求总长度上暴露异常，而 $request_length 正好捕获这一特征：
- 它不受
Content-Encoding影响：即使 Body 是 gzip 压缩的，记录的是压缩后传输长度，避免被“伪装小 Content-Length + 大解压后体”绕过； - 它不欺骗：攻击者伪造超大
Content-Length但只发几个字节，$request_length 仍只计真实接收量； - 它覆盖全面：包含 Header，能发现“超长 Cookie + 小 Body”类隐蔽攻击，这类请求常被
client_max_body_size漏掉； - 它与业务可区分：正常大文件上传通常有明确路径（如
/upload）、合理 UA、且body_bytes_sent较大；攻击则常出现在登录、搜索等非上传接口，响应极小（如仅返回 41 字节 HTML）。
必须自定义 log_format 才能看见它
Nginx 默认 combined 日志格式不包含 $request_length，需显式定义并启用：
log_format attack_probe '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'$request_length $request_time $upstream_response_time '
'"$http_user_agent" "$http_referer" '
'$http_x_forwarded_for';
access_log /var/log/nginx/access.log attack_probe;
关键点：
-
$request_length必须作为独立字段写入，建议放在$body_bytes_sent后便于 awk 按列提取； - 加上
$request_time和$upstream_response_time，可辅助判断是客户端发包慢（前者大、后者小），还是后端卡住（后者显著偏高）； - 保留
$http_x_forwarded_for，防止代理层丢失真实源 IP。
用日志快速定位攻击行为
不靠人工翻查，用命令行或日志平台做数值筛选：
- 查单次请求超过 2MB：
awk '$12 > 2097152 {print}' /var/log/nginx/access.log（假设 $request_length 是第12列）； - 按 IP 统计超长请求频次（如 >1MB）：
awk '$12 > 1048576 {ip[$1]++} END {for (i in ip) print i, ip[i]}' /var/log/nginx/access.log | sort -k2 -nr | head -20； - 组合特征筛查：长请求 + 极小响应 + 非上传路径，例如：
awk '$12 > 5000000 && $9 == 41 && $4 ~ /"POST \/(login|search|api)/ {print $1, $4, $12, $9}' /var/log/nginx/access.log。
结合配置形成防御闭环
仅监控不够，需联动响应：
- 检查
client_max_body_size是否被误设过小（如仍为默认 1MB），导致大量 413 日志掩盖真实攻击； - 对高频超长请求 IP，可用
map + limit_req_zone限流，例如按 $request_length > 5MB 标记并限制每秒 3 次； - 在高危路径（如
/login、/graphql）增加条件拦截：if ($request_length > 1048576) { return 413; }（注意 if 在 location 外慎用）； - 将 $request_length 接入 Prometheus + Grafana，设置 >5MB 请求每分钟突增 10 倍即告警。
