Go原生http服务器ReadHeaderTimeout超时防假死机制-Golang-PHP中文网

readheadertimeout是go http服务器中限制读取完整请求头的最大耗时，防的是客户端发完部分请求头后停滞的假死场景（如slowloris攻击、弱网中断、崩溃残留连接）。

go原生http服务器readheadertimeout超时防假死机制

ReadHeaderTimeout 是什么，它防的是哪种假死

ReadHeaderTimeout 控制的是从 TCP 连接建立完成（含 TLS 握手）开始，到服务器**完整读完 HTTP 请求头**（即第一行 + 所有 Header 行）的最大耗时。它不关心请求体（Body）有没有发完，也不管后续响应怎么处理。

它防的典型假死是：客户端连上了，也发了 GET /api/v1/users HTTP/1.1 和几个 Host:、Authorization: 头，但卡在中间——比如只发了一半 Cookie: 头就断网、或故意慢速发送（slowloris 攻击）、或客户端崩溃后残留半开连接。此时连接处于 ESTABLISHED 状态，但服务端一直在等下一行 header，不超时就不会释放资源。

这种场景下，ReadTimeout 无效（它要等完整 body），IdleTimeout 也不触发（连接不是空闲，而是在“读 header”这个阻塞调用里）。只有 ReadHeaderTimeout 能及时打断。

ReadHeaderTimeout 和 ReadTimeout 的关键区别

这两个字段常被混淆，但作用阶段完全不同：

ReadHeaderTimeout：只覆盖「接收并解析请求头」这一段，计时起点是连接就绪后第一个 read() 调用，终点是 \r\n\r\n 出现
ReadTimeout：覆盖「整个请求输入流」，包括请求头 + 请求体，计时起点相同，但终点是 body 全部读完（或 EOF）

如果只设 ReadTimeout（比如 30 秒），而客户端发完 header 后停住、不发 body，服务端会傻等满 30 秒才关连接；但若同时设了 ReadHeaderTimeout: 5 * time.Second，5 秒内没收到完整 header 就直接关闭，根本不会进 body 读取逻辑。

注意：ReadHeaderTimeout 在 Go 1.19+ 中已正式替代旧版 ReadTimeout 对 header 阶段的隐式控制，且优先级更高。

配置 ReadHeaderTimeout 的实操要点

它必须通过 http.Server 实例显式设置，不能靠默认值——Go 原生服务器默认为 0（即无限等待）。

常见错误配置和建议如下：

别漏掉它：即使你设了 ReadTimeout，也要单独配 ReadHeaderTimeout，否则 header 半截卡住仍会假死
值不宜过大：一般设 2 * time.Second 到 5 * time.Second 足够。移动端弱网或代理链路长的场景可放宽到 8 秒，但超过 10 秒就失去“防假死”意义
不要和 IdleTimeout 搞混：IdleTimeout 是连接空闲时长（比如 header 和 body 都读完了，但客户端迟迟不发新请求），它不管 header 读取过程
HTTPS 场景下，TLS 握手耗时不计入 ReadHeaderTimeout——握手由底层 net.Conn 完成，ReadHeaderTimeout 计时从握手成功后第一个字节开始

示例写法：

server := &http.Server{
    Addr:              ":8080",
    Handler:           myHandler,
    ReadHeaderTimeout: 3 * time.Second,
    ReadTimeout:       30 * time.Second,
    WriteTimeout:      10 * time.Second,
    IdleTimeout:       60 * time.Second,
}

为什么 ReadHeaderTimeout 不生效？常见排查点

设了但不起作用，大概率是以下原因：

用了 http.ListenAndServe() 或 http.ListenAndServeTLS()：它们内部创建的 http.Server 实例未暴露配置入口，ReadHeaderTimeout 必须手动构造 http.Server 并调用 .Serve() 或 .ServeTLS()
启动前未赋值：字段必须在 server.ListenAndServe() 调用前设置，运行中修改无效
被反向代理或 CDN 拦截：某些网关（如 Nginx、Cloudflare）会缓冲并重写请求头，导致 Go 服务实际收到的是“已组装好”的完整 header，ReadHeaderTimeout 变成无意义的兜底
日志没打出来：超时发生时，Go 默认只关闭连接，不输出日志。需自行包装 http.Handler 或监听 server.RegisterOnShutdown 来捕获异常关闭