为什么要对HTTP请求头设置大小限制？

主要分为4个维度： #

• 资源管控需求：Web服务器解析请求前会将完整请求头加载到内存处理，若无大小限制，攻击者只需构造MB级甚至GB级的超大请求头，批量发送就能快速耗尽服务器内存，触发拒绝服务攻击。而正常业务场景下，请求头仅承载Cookie、用户标识、内容类型等常规信息，通常不会超过2KB，8KB以内的限制完全可以覆盖99.9%的正常请求，不会影响业务可用性。
• 安全防护需要：你提到的缓冲区溢出攻击确实是该限制的核心设计初衷之一。早期大量Web服务器采用C/C++开发，没有自动内存边界校验，攻击者可以构造超过预设缓冲区长度的请求头，覆盖栈内存的返回地址，实现远程代码执行。即使现在多数服务采用Java、Go等内存安全语言开发，限制请求头大小也能有效降低请求头注入、恶意数据预埋等攻击的成功概率。
• 协议生态的统一约定：HTTP/1.1及后续版本的协议规范没有强制约定请求头大小上限，但各大服务器厂商很早就形成了统一的行业默认规范，Nginx默认限制为4KB、Tomcat默认8KB、Apache默认8KB，统一的阈值也避免了不同服务交互时出现解析失败、数据截断等兼容性问题。
• 性能优化考量：请求头越小，服务器的解析耗时越短，整条请求链路的处理延迟也越低。设置大小限制也可以避免开发者滥用请求头，比如把大量业务参数塞到自定义请求头、Cookie中，减少不必要的传输和解析开销。

关于你提到的和缓冲区溢出的关联问题：两者直接相关，该限制最早就是为了防范这类底层内存攻击推出的，后续随着技术迭代才逐步扩展出资源管控、性能优化等更多作用。

内容的提问来源于stack exchange，提问作者Sakura