client_header_timeout是防御slowloris类慢速头部攻击的第一道硬闸，从首字节起计时至完整请求头（含\r\n\r\n）接收完毕，超时即返回408并断连，不进upstream、不占后端资源；公网设7秒、内网3–5秒、鉴权网关上限15秒，并须配套reset_timedout_connection on、limit_conn、缓冲区调优。
防范 Slowloris 类慢速连接攻击，关键不在加密或后端，而在网关代理层对连接生命周期的主动管控。Nginx 作为反向代理，必须在 TLS 握手完成后、HTTP 处理开始前，就切断“建了连、不发全头”的异常连接。
client_header_timeout：第一道硬闸，专治慢速头部
该参数从客户端发送第一个字节起计时，到完整收到 \r\n\r\n（空行）为止。超时即返回 408 并关闭连接，不进 upstream，不占后端资源。
- 公网网关（如暴露在互联网的 API 入口）：设为 7 秒。覆盖主流浏览器、SDK 及跨境/CDN 抖动，又能拦截每 10–15 秒补一个字段的扫描器
- 内网网关（如 Kubernetes Ingress 后置、Service Mesh 边车）：可压至 3–5 秒，链路稳定，无 NAT 或中间设备干扰
- 含大量 Cookie、JWT 或 SSO 头的鉴权网关：先开启日志记录 $request_time 和 $status，观察 P99 头部接收耗时，再加 2–3 秒缓冲，上限不超过 15 秒
必须配套的三项协同配置
单设 client_header_timeout 效果有限，需与以下配置咬合形成闭环：
- reset_timedout_connection on;：超时后直接发 RST 包中断连接，跳过四次挥手，立即释放 socket 和文件句柄，避免 TIME_WAIT 滞留
- limit_conn_zone $binary_remote_addr zone=perip:10m; + limit_conn perip 10;：限制单 IP 初始并发连接数，防攻击者用多个地址绕过 timeout
- client_header_buffer_size 4k; + large_client_header_buffers 4 16k;：确保能容纳合法大 header（如长 Token、多段 Cookie），避免因缓冲不足触发重试或 400 错误，反而延长等待
其他关键 timeout 的协同调优
Slowloris 攻击常组合使用不同阶段的拖延行为，需同步收紧全链路超时：
- ssl_handshake_timeout 5s（Nginx 1.19.0+）：强制 TLS 握手在 5 秒内完成，拦截畸形或故意拖慢握手的客户端
- client_body_timeout 10s（保持 proxy_request_buffering on）：防止攻击者发完头后转入慢传 body；关闭 buffering 会使该 timeout 失效
- keepalive_timeout 5–8s + reset_timedout_connection on：缩短 HTTPS 空闲长连接存活时间，避免被复用为慢速扫描通道
- send_timeout 8–12s（普通接口）或 60–300s（流式响应）：控制响应发送节奏，防 Slow Read 类攻击
验证是否真正生效
不能只看 reload 成功，要实测行为：
- 用 curl -X GET http://your-domain.com/ --limit-rate 10 -m 30 模拟慢速头部（限速 10 字节/秒）
- 检查 error.log 是否出现 client timed out while reading client request headers
- 观察 access.log 中状态码是否为 408，且 $request_time 接近你设置的 timeout 值（如 6.98s）
- 运行 netstat -ant | grep :443 | grep ESTAB，确认真实连接数未被异常连接持续堆积
