Heroku部署应用特定GET请求在基础设施层被拦截返回400错误求助

• 请求不符合HTTP规范：生产服务器发起的请求存在未正确编码的路径/Query参数、非法请求头字段、非ASCII字符未转义、HTTP版本过低未携带强制Host头等问题，被Heroku路由层直接拦截返回400
• 请求总大小超限：Heroku路由层对请求行+请求头的总大小限制为8KB，若GET请求携带过长的Query参数、超大Cookie，超出限制后会被直接拦截
• 命中WAF规则：该请求的参数内容包含SQL注入、XSS等攻击特征字符串，刚好命中Heroku前置WAF的拦截规则，且仅该接口的请求特征符合规则触发拦截
• 源IP请求特征触发限制：生产服务器IP针对该接口的请求频率、请求特征触发了Heroku的临时限流规则，仅拦截该接口的请求，其余接口请求不受影响

1. 对比请求报文差异
   在生产服务器上执行tcpdump抓包，或者用curl -v模拟完全相同的请求，打印完整请求报文，与Postman正常请求的报文逐字段对比，重点校验以下内容：

• 请求路径、Query参数是否存在未转义的特殊字符（空格、&、中文、特殊符号等）
• 请求头是否存在空值、非法字符、不符合HTTP规范的自定义字段
• HTTP版本是否为1.1及以上，Host头是否与Heroku应用的访问域名完全一致
• 是否携带了Transfer-Encoding: chunked、Expect: 100-continue等GET请求无需使用的异常头字段

2. 校验请求总大小
   计算请求行+所有请求头（含Cookie）的总字节数，确认是否超出8KB限制。若超出则优化参数传递方式，将大参数改为POST请求Body传输，或拆分Cookie内容。

3. 定位WAF规则命中点
   逐段移除请求的Query参数、自定义头字段后重试请求，定位具体是哪部分内容触发了拦截。若为敏感内容命中规则，可对对应内容做URL编码或加密后再传输。

4. 验证源IP限制
   在生产服务器上通过代理IP发起相同请求，若代理请求可正常返回200，说明原生产服务器IP被临时限制。可调整该接口的请求频率避免触发限流，或提交Heroku工单申请解除IP限制。

5. 确认拦截层级
   执行heroku logs --tail --dyno web实时查看应用层日志，若该请求触发时应用层无任何日志输出，即可确认是Heroku路由层拦截，可提供日志中的request_id联系Heroku官方支持查询具体拦截原因。

内容的提问来源于stack exchange，提问作者Joaquín García