如何通过调优 client_header_timeout 防范针对事件循环请求头读取阶段的慢速攻击-Nginx-PHP中文网

client_header_timeout是Nginx在事件循环中专用于限制请求头读取阶段超时的关键参数，从首个字节到达起计时，至\r\n\r\n结束为止，超时即返回408并断连，不进upstream、不占后端资源；它防Slowloris类头部拖延攻击，需结合reset_timedout_connection、limit_conn等配置形成事件级闭环防护。

如何通过调优 client_header_timeout 防范针对事件循环请求头读取阶段的慢速攻击

client_header_timeout 是 Nginx 在事件循环中处理请求头读取阶段的关键防护开关。它不参与业务逻辑，也不等待后端响应，只专注一件事：从 TCP 连接收到第一个字节起，到完整解析出 HTTP 请求头（含结尾的 \r\n\r\n）为止，这段等待时间不能超过设定阈值。超时即断连、返回 408，且不进入 upstream、不占用后端资源——这是阻断 Slowloris 类攻击最轻量也最直接的方式。

明确它在事件循环中的实际作用点

Nginx 基于 epoll/kqueue 的事件驱动模型中，每个 worker 进程轮询监听 socket 可读事件。当新连接建立并触发可读事件后，Nginx 开始尝试读取请求头，并启动 client_header_timeout 计时器。该计时器只在“等待下一段请求头数据”时生效；一旦有新数据到达，计时重置；直到遇到空行 \r\n\r\n，计时停止，请求进入下一阶段（如转发或体读取）。因此：

它防的是“建了连、发一点、就停住”的头部拖延行为，不是慢传 body 或慢读响应
它不依赖后端、不触发 proxy_pass，纯属 Nginx 自身事件循环内的快速裁决
计时起点是首个字节抵达，不是 TCP 握手完成时刻，所以 TLS 握手延迟已包含在内

按链路特征设定合理阈值

设太短会误杀合法弱网请求，设太长等于放弃防护。应结合真实流量中请求头传输的 P99 耗时来定，而非拍脑袋：

标准公网 Web 页面或 REST API：设为 7 秒。浏览器、curl、主流 SDK 通常在 1–2 秒内完成头部发送，7 秒可覆盖跨境抖动与 CDN 中转延迟，又能拦截每 10 秒才补一个字段的扫描器
含 JWT Token、多段 Cookie 或 SSO 头的鉴权网关：建议 10–15 秒，但必须同步检查 client_header_buffer_size 和 large_client_header_buffers 是否足够，否则缓冲区溢出会触发重试，反而延长等待
内网反代或 Kubernetes Ingress 后置服务：可压至 3–5 秒，链路稳定、无 NAT、无深度检测设备，防御强度更高
不建议低于 3 秒：部分合规终端、老旧 IoT 设备或高丢包移动网络可能出现合法头部延迟

必须配套的事件级协同配置

单设 client_header_timeout 效果有限，需在事件循环层面形成闭环，避免资源滞留：

reset_timedout_connection on;：超时后主动发送 RST 包中断连接，跳过四次挥手，立即释放 socket 句柄和内核连接槽位，防止 TIME_WAIT 滞留
limit_conn_zone $binary_remote_addr zone=perip:10m; + limit_conn perip 10;：限制单 IP 初始并发连接数，防攻击者用多个地址绕过 timeout
client_header_buffer_size 4k; + large_client_header_buffers 4 16k;：确保能容纳常见大 header（如长 Token、多 Cookie），避免因缓冲不足导致截断重试
log_format 中加入 $request_time 和 $status，便于在 access log 中识别 status=408 且 request_time 接近 timeout 值的请求，确认是否真被拦截

验证是否真正生效

用最贴近攻击行为的方式测试：

用 telnet 连接后只输入 GET / 回车，不发 Host、不发空行，等待超时后观察连接是否被服务器主动关闭（非客户端断开）
用 curl 模拟慢速 header：curl -X POST http://your-gateway.com/api --header "X-Test: $(printf 'a%.0s' {1..8000})" --limit-rate 50 -m 30，若 Nginx 在 7 秒内返回 408 且 error log 出现 client timed out while reading client request headers，说明配置已起效
临时开启 debug 日志（error_log /path/to/debug.log debug;），过滤关键字确认超时来源，排除误配或模块缺失问题