Node.js中处理超限HTTP请求：如何关闭连接并阻止后续数据传输？

核心问题解答 #

1. 调用response.end()能解决问题吗？ #

不能。response.end()仅用于结束服务器的响应输出，不会关闭底层的TCP连接（HTTP/1.1默认启用持久连接）。恶意客户端仍然可以持续向服务器发送数据，服务器会将这些数据存入缓冲区，无法起到阻止资源消耗的作用。

2. 要不要调用request.destroy()？ #

一定要。request.destroy()会直接销毁底层的socket连接，强制切断与客户端的通信，从根源上阻止后续数据传输。调用时可以传入错误对象，明确告知客户端请求被终止的原因：

request.destroy(new Error('请求大小超出限制'));

注意：调用destroy()会触发request对象的error事件，必须监听该事件，避免进程因未捕获错误崩溃。

3. 销毁前需要先unpipe我的Transform流吗？ #

不需要。当调用request.destroy()时，Node.js会自动解除请求流与所有下游流（包括你的大小限制Transform流）的管道连接，同时清理相关事件监听。手动执行unpipe不是必需操作，即便提前执行，也不会改变最终的断开效果。

关于你提到的两种“不安全方案” #

• unpipe后调用request.resume()
  这种方案存在明显风险：resume()会让请求流持续读取客户端发送的数据但不做处理，TCP连接始终保持打开状态。恶意客户端可以无限发送数据，服务器会持续接收并丢弃这些数据，长期下来会消耗大量网络IO和CPU资源，无法有效防范DDoS攻击。

• unpipe后调用request.pause()
  对于合规客户端，当服务器接收缓冲区填满时，TCP流量控制机制会向客户端发送停止信号，客户端会暂停传输。但恶意客户端可以无视该信号，继续强制发送数据，导致服务器缓冲区被持续占满，最终引发内存耗尽，无法应对恶意攻击。

内容的提问来源于stack exchange，提问作者Rafael Sofi-zada