Nginx的large_client_header_buffers需按完整请求头（含请求行+所有Header）总长评估，而非仅路径长度；默认4 8k易致400/414错误，应结合client_header_buffer_size协同调优，推荐常规场景设为4k+2 8k，网关场景用8k+4 16k，并通过$request_length和抓包实测验证。
调优 large_client_header_buffers 不能只看路径长度，而要把它当作整个请求头（包括请求行 + 所有 Header 行）的总容量来评估。因为 HTTP 协议中，GET 请求的查询参数（query string）是附在 URI 后面、作为请求行一部分传输的，它和 Cookie、Authorization、User-Agent 等一样，全部计入请求头总长。Nginx 触发 414 错误时提示 “Request URI too large”，但根源往往是整个请求头超限，而非单纯路径名过长。
先确认真实请求头总长度，不是只量 path
很多团队误以为“路径长就调大 buffer”，结果配置后仍报错。关键要统计完整请求头字节数：
- 启用 Nginx 日志变量
$request_length（含请求行 + 所有 header 字节），用awk '{print $NF}' access.log | sort -n | tail -10查看 P99～P100 分位长度 - 对报 414 的请求做 tcpdump 抓包：
tcpdump -A 'port 80 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420)' -c 10，再人工提取并计算整段请求头长度 - 注意：URI 中的中文、特殊符号经 URL 编码后会膨胀（如 “你好” → %E4%BD%A0%E5%A5%BD，3 字节变 18 字节），实测必须基于编码后长度
large_client_header_buffers 的数值逻辑必须匹配 client_header_buffer_size
这个指令格式是 large_client_header_buffers <number><size></size></number>，它不单独生效，必须与 client_header_buffer_size 协同：
-
client_header_buffer_size必须 ≤large_client_header_buffers的<size></size>，否则 Nginx 启动失败 - 最大可容纳请求头 ≈
<number> × <size></size></number>，但实际有效上限略小（因每行 header 有换行符、冒号空格等开销） - 例如设为
large_client_header_buffers 4 8k，意味着最多支持约 30KB 请求头（4×8192 − 行间分隔消耗），而非简单相加 - 若实测 P99 请求头为 5.2KB，推荐设
client_header_buffer_size 8k+large_client_header_buffers 2 8k，而非盲目上 16k 单块
按场景选数量与单块大小，避免内存浪费或 fallback 频发
高并发下，每个请求都会独占一块 client_header_buffer_size 内存；一旦触发 fallback，还会额外申请 large_client_header_buffers 中的块——这两者都计入 worker 进程常驻内存：
- 普通 Web 应用（含 JWT、多域 Cookie）：设
client_header_buffer_size 4k+large_client_header_buffers 2 8k，覆盖 99.5% 请求，worker 内存增幅可控 - 网关/反向代理场景（X-Forwarded-* 多层叠加、trace 头丰富）：建议
client_header_buffer_size 8k+large_client_header_buffers 4 16k，预留扩展余量 - 严禁设
large_client_header_buffers 1 64k：单个恶意请求即可吃掉一个 worker 的大量内存，易被利用做 DoS - 不要在 location 块里覆盖该值：它只在 http 或 server 级生效，location 中设置无效且易引发继承混乱
验证是否真正解决，而非掩盖问题
改完配置后，必须交叉验证：
- 用 curl 模拟边界请求：
curl -v "http://host/path?$(printf 'a=%.0s' {1..8000})" 2>&1 | grep "HTTP/"，确认返回 200 而非 414 - 检查 error.log 是否还有
client sent too large request或header overflow记录 - 观察 worker 进程 RSS 内存变化（
ps aux --sort=-%mem | head -5），确认无异常上涨 - 配合
client_header_timeout 10s防慢速头攻击——调大 buffer 不等于放开所有防护
