基于Go原生HTTP库，如何终止恶意HTTP请求且不返回响应？

兄弟，你这个问题问到点子上了——用Go原生HTTP库时，直接return终止恶意请求确实藏着不少坑，我之前也踩过类似的雷，咱们好好捋清楚：

直接return的潜在问题 #

• 内存泄漏风险：直接return后，请求相关的资源（比如请求体缓冲区、连接结构体）虽然最终会被GC回收，但如果恶意请求高频触发，短时间内会堆积大量未清理的资源。尤其是如果请求体还没读完，服务器可能会一直挂着连接，占用额外的内存和套接字。
• 性能浪费：Go的HTTP服务器每个请求对应一个goroutine，直接return会让这个goroutine销毁，但高频创建销毁goroutine本身就有开销。另外，服务器可能会等待客户端发完剩余的请求数据，白白消耗IO资源。
• 客户端重试加重负担：客户端没收到任何响应，大概率会保持连接甚至重试，反而让服务器承受更多压力。

惯用的正确实现方式 #

要干净利落地终止恶意请求，核心是主动关闭连接+清理请求体，下面是几种常用方案：

1. 直接劫持并关闭连接（最彻底） #

通过http.Hijacker获取底层连接，直接关闭，不给客户端任何响应：

func SomeController(w http.ResponseWriter, r *http.Request) {
    if IsDodgyRequest(r) {
        // 尝试劫持连接
        if hijacker, ok := w.(http.Hijacker); ok {
            conn, _, err := hijacker.Hijack()
            if err == nil {
                conn.Close()
            }
        }
        return
    }
    // 控制器剩余逻辑
}

2. 先清理请求体再关闭连接 #

如果请求体还没被读取，一定要主动读取并丢弃，避免连接挂起：

import "io"

func SomeController(w http.ResponseWriter, r *http.Request) {
    if IsDodgyRequest(r) {
        // 读取并丢弃请求体，释放资源
        _, _ = io.Copy(io.Discard, r.Body)
        r.Body.Close()
        
        // 劫持连接关闭
        if hijacker, ok := w.(http.Hijacker); ok {
            conn, _, err := hijacker.Hijack()
            if err == nil {
                conn.Close()
            }
        }
        return
    }
    // 控制器剩余逻辑
}

3. 返回错误状态码后快速关闭（可选） #

如果需要给客户端一个明确的拒绝信号（比如403），可以设置Connection: close头，写完状态码后立即刷新并关闭：

func SomeController(w http.ResponseWriter, r *http.Request) {
    if IsDodgyRequest(r) {
        w.Header().Set("Connection", "close")
        w.WriteHeader(http.StatusForbidden)
        
        // 立即刷新响应，避免缓冲区滞留
        if flusher, ok := w.(http.Flusher); ok {
            flusher.Flush()
        }
        
        // 清理请求体
        _, _ = io.Copy(io.Discard, r.Body)
        r.Body.Close()
        return
    }
    // 控制器剩余逻辑
}

额外建议 #

• 别忽略错误处理：上面代码用_忽略了错误，生产环境里最好把Hijack()和io.Copy的错误记录到日志里，方便排查问题。
• 用中间件统一处理：如果多个控制器都要检测恶意请求，把逻辑放到中间件里更高效，避免重复代码：

  func DodgyRequestMiddleware(next http.Handler) http.Handler {
      return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
          if IsDodgyRequest(r) {
              _, _ = io.Copy(io.Discard, r.Body)
              r.Body.Close()
              
              if hijacker, ok := w.(http.Hijacker); ok {
                  conn, _, err := hijacker.Hijack()
                  if err == nil {
                      conn.Close()
                  }
              }
              return
          }
          next.ServeHTTP(w, r)
      })
  }
  

内容的提问来源于stack exchange，提问作者josebit