nginx无法按ip单独限制请求体大小，但可通过全局限制+路径分级+头大小与超时控制实现多层载荷防护：设置client_max_body_size（如8m）、client_body_buffer_size（如256k），按路径精细化配置上传权限，配合client_header_buffer_size、超时及日志监控协同防御。
单个 IP 的请求体大小本身不能被“按 IP 单独限制”，Nginx 没有 client_max_body_size 的 per-IP 变体指令。但你可以通过组合策略，实现对恶意上传行为的有效压制——核心是：**全局限制 + 请求路径分级 + 配合头大小与超时控制，形成多层载荷防护**。
明确限制请求体总大小（基础防线）
这是最直接有效的手段，防止大文件上传耗尽内存或磁盘，也阻断常见载荷攻击（如超长 multipart、恶意 JSON payload）：
- 在
http、server或具体location块中设置：client_max_body_size 8m;（建议根据业务实际设为 2–10MB，API 接口通常 2–4MB 足够） - 同步调整缓冲区，避免小缓冲引发频繁磁盘写入：
client_body_buffer_size 256k;（比默认 128k 更稳妥，减少临时文件生成） - 若某路径明确禁止上传（如
/api/login），可单独设为极小值：location /api/login { client_max_body_size 1k; }
按路径精细化控制上传能力（关键分级）
不是所有接口都需要接收大 body。把上传权限收敛到少数明确路径，其他路径一律收紧：
- 只允许
/upload或/api/v1/files接收较大 body：location /upload { client_max_body_size 50m; } - 静态资源、登录、查询类接口统一限制在 1–4KB：
location ~ ^/(login|search|status) { client_max_body_size 2k; } - 配合
limit_req进一步约束上传路径的请求频率，防批量构造大 body 请求
协同防御：头大小 + 超时 + 日志监控
攻击者常配合超长 header（如伪造巨量 Cookie）、慢速发送 body 等手法绕过单纯 body 限制：
- 限制请求头总容量：
client_header_buffer_size 1k;large_client_header_buffers 4 4k;（总上限 16KB，超限返回 400） - 缩短读取请求头和 body 的等待时间：
client_header_timeout 5s;client_body_timeout 10s;（防 slowloris 类慢速攻击） - 开启详细日志，记录超限请求便于溯源：
log_format limit_log '$remote_addr - $request_length $status $body_bytes_sent';
在 server 或 location 中启用：access_log /var/log/nginx/upload_limit.log limit_log;
不复杂但容易忽略：真正起作用的不是单一指令，而是 client_max_body_size 和 client_header_buffer_size 等配置的协同生效，再配上路径级收口和超时控制，才能稳住载荷攻击的第一道闸门。
