详解 $request_length：在日志中监控异常的大体积请求攻击-Nginx-PHP中文网

$request_length 是 Nginx 记录客户端完整 HTTP 请求字节数的内置变量，含请求行、头和体，用于识别大体积请求攻击；需结合 $request_method、$content_length 等字段分析以避免误报。

详解 $request_length：在日志中监控异常的大体积请求攻击

$request_length 是 Nginx 日志中一个非常实用的内置变量，它记录的是**客户端发送的完整 HTTP 请求的总字节数**，包括请求行（如 POST /api/upload HTTP/1.1）、所有请求头（headers）以及请求体（body）的长度之和。它不是响应大小，也不含响应头或响应体 —— 它只衡量“客户端塞进来的东西有多大”。

为什么 $request_length 对识别大体积请求攻击很关键

攻击者常利用超大请求体实施以下行为：

HTTP POST 暴力上传恶意文件（如 WebShell、加密矿工）
构造巨量 header（如超长 X-Forwarded-For 或自定义字段）触发解析异常或内存耗尽
发送畸形但合法的长请求行（如超长 URL + 大量查询参数）绕过常规路径限制
Slowloris 类型变种：用极慢但持续发送的大块 body 占满 worker 连接

这类攻击往往不触发 4xx/5xx 错误码（请求仍能被 Nginx 接收并转发），因此仅靠 $status 或 $request_time 很难及时发现。而 $request_length 提供了客观、可量化的输入规模指标，是日志侧第一道“体积筛”。

如何在 access_log 中启用并分析 $request_length

在 Nginx 配置的 log_format 中加入该变量即可：

log_format detailed '$remote_addr - $remote_user [$time_local] '
                     '"$request" $status $body_bytes_sent '
                     '$request_length $request_time "$http_referer" '
                     '"$http_user_agent"';

重启后，每条日志末尾会多出一个数字，例如：

192.168.1.100 - - [10/Jul/2024:14:22:33 +0800] "POST /upload.php HTTP/1.1" 200 1245 8372192 0.423 "https://example.com/" "curl/7.68.0"

这里 8372192 表示该请求共 8.37 MB。你可以用如下方式快速筛查异常值：

用 awk '{if ($11 > 5000000) print}' /var/log/nginx/access.log 找出大于 5MB 的请求
配合 sort | uniq -c | sort -nr 统计高频大请求的 URI 或 IP
接入 ELK 或 Grafana Loki 后，对 request_length 字段设 P99 阈值告警（如持续超过 2MB 触发）

结合其他变量做精准判断，避免误报

单看 $request_length 可能误伤正常业务，需交叉验证：

对比 $request_method：GET 请求通常不应超过几 KB；若出现 GET 请求 request_length > 10000，大概率是 URL 注入或扫描器试探
检查 $content_length：如果 request_length 远大于 content_length（比如差值 >100KB），说明攻击者在 header 中填充了大量垃圾字段
关联 $request_time 和 $upstream_response_time：若请求体很大但 request_time 极短（如 upstream_response_time 极长而 request_time 正常，则可能是后端处理慢，非入口攻击
留意 $http_expect：存在 Expect: 100-continue 且 request_length 极大时，要确认是否后端正确处理了预检，否则可能被用于连接耗尽

主动防御建议：不止于监控

监控到异常后，可立即采取技术反制：

在 http 或 server 块中设置 client_max_body_size 10M，直接拒绝超限 body（注意：它不影响 header 和 request line 长度）
用 limit_req 配合 burst 和 nodelay 限制单位时间内的大请求频率
通过 map 指令将超大 $request_length 映射为特殊变量，再用 if + return 403 实时拦截（慎用 if，推荐放在 location 中）
对上传类接口单独配置更严格的 client_header_buffer_size 和 large_client_header_buffers，防 header 泛滥