Apache的Timeout参数仅控制请求头读取阶段超时，不管理请求体传输；慢速连接防护依赖mod_reqtimeout模块的分阶段限速（如header=10-30,minrate=500、body=10,minrate=500），并需配合MaxRequestWorkers、KeepAliveTimeout及event MPM等协同配置。

Apache的Timeout参数本身不直接控制慢速连接的资源释放，它只影响请求头读取阶段的超时；真正决定慢速连接何时被断开、资源何时释放的，是mod_reqtimeout模块中的配置项。

Timeout参数的实际作用范围

Timeout（默认300秒）仅约束以下三个环节：

• 接收HTTP请求行（如GET / HTTP/1.1）的最大等待时间
• 接收每个请求头字段之间的间隔时间
• 发送响应后，等待客户端确认（如TCP ACK）的超时（仅限某些MPM下生效）

它不参与请求体（request body）传输过程的超时控制，也不干预已建立连接但传输极慢的长连接。因此，一个客户端缓慢上传大文件或逐字节发请求体，Timeout完全不起作用。

应对慢速连接的关键：mod_reqtimeout

该模块专为防御慢速攻击（如Slowloris）设计，通过分阶段限速释放连接资源：

立即学习“Java免费学习笔记（深入）”；

• RequestReadTimeout header=10-30,minrate=500：要求请求头必须在10秒内开始、30秒内完成，且平均速率不低于500字节/秒
• RequestReadTimeout body=10,minrate=500：请求体每10秒内至少接收500字节，否则断连
• 未启用该模块时，慢速连接可能长期占用worker进程或线程，导致连接池耗尽

其他协同配置要点

单靠超时设置不够，需配合运行时机制：

• MaxRequestWorkers（或MaxClients）限制并发连接数，避免资源被慢连接占满
• KeepAliveTimeout控制空闲长连接存活时间，防止大量空闲连接堆积
• 使用event MPM替代prefork可提升对慢连接的容忍度，因事件驱动模型不为每个连接独占线程

Java应用侧需注意的联动点

若Apache反向代理Java后端（如Tomcat），还需检查后端自身超时设置：

• Tomcat的connectionTimeout和keepAliveTimeout应小于Apache对应值，避免“悬挂连接”
• Spring Boot中server.tomcat.connection-timeout需与Apache的RequestReadTimeout协调，防止前端已断连而后端仍在等待
• Java应用读取request.getInputStream()时，若未设读取超时，可能阻塞线程——建议用带超时的IO方式或容器级防护