为何带Content-Length:0的GET请求被AWS ALB判定为不合规？

问题背景 #

• 发送无请求体但携带Content-Length:0头的GET请求到后端服务
• AWS Application Load Balancer（ALB）返回400错误，查AWS文档确认该请求被归类为Acceptable（定义为"不符合RFC 7230，但无已知安全威胁"）
• ALB的反同步缓解模式配置为Strictest，该模式会拦截所有Acceptable类请求

规范与AWS判定逻辑分析 #

首先明确RFC 7230中的相关要求：

用户代理不应在请求消息无负载载体且方法语义不预期存在该体时发送Content-Length头字段。

这里的核心矛盾点在于：

1. RFC使用的是不应（SHOULD NOT），属于建议性约束，而非强制禁止（MUST NOT）的强约束
2. 但AWS ALB的Strictest模式设计目标是严格遵循RFC 7230的所有规范细节，包括这类建议性约束。即使Content-Length:0本身无安全风险，只要不符合RFC的明确建议，就会被划入Acceptable类别，进而被拦截

简单来说，你的请求确实违反了RFC的建议性要求，而Strictest模式会对这类"非合规但安全"的请求执行拦截，这就是ALB返回400的原因。

可行解决方案 #

• 修改请求：直接移除GET请求中的Content-Length:0头字段，完全符合RFC规范，即可避免被拦截
• 调整ALB配置：如果无法修改请求，可以将反同步缓解模式从Strictest调整为Moderate（仅拦截有安全威胁的请求，Acceptable类请求会被放行）或Off（需注意评估潜在安全风险）

内容的提问来源于stack exchange，提问作者user1934513