防范slowloris攻击的核心是nginx在tls握手完成后、http处理开始前，通过client_header_timeout（公网7秒、内网3–5秒、鉴权网关≤15秒）卡死慢发请求头，并配套reset_timedout_connection on、limit_conn及缓冲区调优实现闭环防护。
防范 Slowloris 类慢速死连接攻击，核心是让 Nginx 在攻击者“只建连、不发完头”时快速识别并切断，不把连接拖进 upstream、不占用后端资源。这不是靠增加带宽或升级硬件，而是靠精准控制连接生命周期——在 TLS 握手完成后、HTTP 处理开始前就关门。
client_header_timeout：卡死慢发请求头
这是第一道硬闸。Slowloris 攻击者建好 TCP 连接后，只发 GET / HTTP/1.1\r\n，然后隔 10–30 秒补一个 User-Agent:，永远不发结尾的 \r\n\r\n。Nginx 默认等 60 秒，几十个这种连接就能塞满一个 worker 的全部连接槽位。
- 公网 API 或网站入口：设为 7 秒，兼顾跨境延迟与攻击拦截窗口
- 内网服务（如 Kubernetes Ingress 后置）：可压到 3–5 秒，链路稳定无 NAT 干扰
- 含 JWT、多段 Cookie 或 SSO 头的鉴权网关：先开启日志记录
$request_time，观察 P99 头部接收耗时，再加 2–3 秒缓冲，上限不超过 15 秒
必须配套的三项闭环动作
单设超时效果有限，需咬合执行才能释放资源：
- reset_timedout_connection on;：超时后直接发 RST 包断连，跳过四次挥手，立刻释放 socket 和文件句柄，避免 TIME_WAIT 滞留
- limit_conn_zone $binary_remote_addr zone=perip:10m; + limit_conn perip 10;：限制单 IP 初始并发连接数，防攻击者用多个地址绕过 timeout
- client_header_buffer_size 4k; + large_client_header_buffers 4 16k;：确保能容纳合法大 header（如长 Token、多段 Cookie），避免因缓冲不足触发重试，反而延长等待
协同收紧其他关键超时环节
Slowloris 常组合利用不同阶段拖延，需全链路设防：
- ssl_handshake_timeout 5s（Nginx 1.19.0+）：强制 TLS 握手在 5 秒内完成，拦截畸形或故意拖慢握手的客户端
-
client_body_timeout 10s（保持
proxy_request_buffering on）：防攻击者声明大 Content-Length 却极慢传 body；关闭 buffering 会使该 timeout 失效 - keepalive_timeout 5–8s + reset_timedout_connection on：缩短 HTTPS 空闲长连接存活时间，避免被复用为慢速扫描通道
- send_timeout 8–12s（普通接口）或 60–300s（流式响应如 SSE）：控制响应发送节奏，防 Slow Read 类攻击
验证配置是否真正生效
别只改完就上线，用真实行为验证：
- 用 curl 模拟慢发头：
curl -v --limit-rate 10 --max-time 30 http://your-domain.com/（限速 10 字节/秒，总超时 30 秒） - 检查 error_log 是否出现
client timed out (read header)，且返回状态码是408 - 观察 stub_status 中
Reading连接数是否不再异常堆积，Active connections回归平稳
