Spring Boot 3.0.5如何有效限制POST请求Payload大小至1MB/2MB？

1. 为何配置server.tomcat.max-http-post-size=2MB仍能处理超大Payload？ #

server.tomcat.max-http-post-size这个配置仅对Tomcat处理的application/x-www-form-urlencoded类型POST请求生效。如果你的API接收的是其他类型请求（比如application/json、multipart/form-data文件上传、二进制流等），该配置完全不会起作用：

• 对于application/json这类请求，请求体解析由Spring MVC的HttpMessageConverter（如Jackson JSON转换器）负责，Tomcat的这个属性不会干预；
• 对于multipart/form-data文件上传请求，Spring Boot有专门的spring.servlet.multipart.*系列配置管控大小，和Tomcat的这个属性无关。

你测试时使用的50MB Payload大概率不是传统表单提交类型，因此配置未生效，请求得以正常处理。

2. 如何确保当Payload超过1MB或2MB时，应用抛出错误？ #

需根据API接收的请求类型，针对性配置：

情况1：API接收application/x-www-form-urlencoded表单请求 #

确保server.tomcat.max-http-post-size配置生效，同时添加max-swallow-size防止Tomcat吞掉过大请求体：

server.tomcat.max-http-post-size=2MB
# 与max-http-post-size保持一致，超过时Tomcat直接拒绝请求
server.tomcat.max-swallow-size=2MB

情况2：API接收application/json/XML等非表单、非文件上传请求 #

有两种实现方式：

• 全局配置方式
  在application.properties中添加全局请求大小限制：

  # 限制所有请求的最大体大小（含JSON、XML等）
  spring.servlet.max-request-size=2MB
  

  当请求体超过阈值时，Spring MVC会抛出MaxUploadSizeExceededException，默认返回400 Bad Request响应。

• 精准定制方式（仅针对JSON请求）
  自定义Jackson消息转换器，单独限制JSON请求体大小：

  @Configuration
  public class WebMvcConfig implements WebMvcConfigurer {
      @Override
      public void configureMessageConverters(List<HttpMessageConverter<?>> converters) {
          MappingJackson2HttpMessageConverter jacksonConverter = new MappingJackson2HttpMessageConverter();
          // 设置内存中可处理的最大JSON请求体大小为2MB
          jacksonConverter.setMaxInMemorySize(2 * 1024 * 1024);
          converters.add(0, jacksonConverter); // 确保优先使用自定义转换器
      }
  }
  

  超过大小会抛出HttpMessageNotReadableException，可通过@ExceptionHandler全局捕获并返回自定义错误响应。

情况3：API接收multipart/form-data文件上传请求 #

配置Spring文件上传限制：

# 单个文件的最大大小
spring.servlet.multipart.max-file-size=2MB
# 整个请求（含所有文件和参数）的最大大小
spring.servlet.multipart.max-request-size=2MB
# 禁用延迟解析，确保请求一开始就检查大小
spring.servlet.multipart.resolve-lazily=false

超过阈值会抛出MaxUploadSizeExceededException，可通过全局异常处理器统一处理。

内容的提问来源于stack exchange，提问作者Uzair Ch