$request_length 是 Nginx 记录客户端完整 HTTP 请求字节数的内置变量，含请求行、头和体，用于识别大体积请求攻击；需结合 $request_method、$content_length 等字段分析以避免误报。
$request_length 是 Nginx 日志中一个非常实用的内置变量，它记录的是**客户端发送的完整 HTTP 请求的总字节数**，包括请求行（如 POST /api/upload HTTP/1.1）、所有请求头（headers）以及请求体（body）的长度之和。它不是响应大小，也不含响应头或响应体 —— 它只衡量“客户端塞进来的东西有多大”。
为什么 $request_length 对识别大体积请求攻击很关键
攻击者常利用超大请求体实施以下行为：
- HTTP POST 暴力上传恶意文件（如 WebShell、加密矿工）
- 构造巨量 header（如超长
X-Forwarded-For或自定义字段）触发解析异常或内存耗尽 - 发送畸形但合法的长请求行（如超长 URL + 大量查询参数）绕过常规路径限制
- Slowloris 类型变种：用极慢但持续发送的大块 body 占满 worker 连接
这类攻击往往不触发 4xx/5xx 错误码（请求仍能被 Nginx 接收并转发），因此仅靠 $status 或 $request_time 很难及时发现。而 $request_length 提供了客观、可量化的输入规模指标，是日志侧第一道“体积筛”。
如何在 access_log 中启用并分析 $request_length
在 Nginx 配置的 log_format 中加入该变量即可：
log_format detailed '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'$request_length $request_time "$http_referer" '
'"$http_user_agent"';重启后，每条日志末尾会多出一个数字，例如：
192.168.1.100 - - [10/Jul/2024:14:22:33 +0800] "POST /upload.php HTTP/1.1" 200 1245 8372192 0.423 "https://example.com/" "curl/7.68.0"
这里 8372192 表示该请求共 8.37 MB。你可以用如下方式快速筛查异常值：
- 用
awk '{if ($11 > 5000000) print}' /var/log/nginx/access.log找出大于 5MB 的请求 - 配合
sort | uniq -c | sort -nr统计高频大请求的 URI 或 IP - 接入 ELK 或 Grafana Loki 后，对
request_length字段设 P99 阈值告警（如持续超过 2MB 触发）
结合其他变量做精准判断，避免误报
单看 $request_length 可能误伤正常业务，需交叉验证：
-
对比 $request_method：GET 请求通常不应超过几 KB；若出现 GET 请求
request_length > 10000，大概率是 URL 注入或扫描器试探 -
检查 $content_length：如果
request_length远大于content_length（比如差值 >100KB），说明攻击者在 header 中填充了大量垃圾字段 -
关联 $request_time 和 $upstream_response_time：若请求体很大但
request_time极短（如 upstream_response_time 极长而request_time正常，则可能是后端处理慢，非入口攻击 -
留意 $http_expect：存在
Expect: 100-continue且request_length极大时，要确认是否后端正确处理了预检，否则可能被用于连接耗尽
主动防御建议：不止于监控
监控到异常后，可立即采取技术反制：
- 在
http或server块中设置client_max_body_size 10M，直接拒绝超限 body（注意：它不影响 header 和 request line 长度） - 用
limit_req配合burst和nodelay限制单位时间内的大请求频率 - 通过
map指令将超大$request_length映射为特殊变量，再用if+return 403实时拦截（慎用 if，推荐放在 location 中） - 对上传类接口单独配置更严格的
client_header_buffer_size和large_client_header_buffers，防 header 泛滥
