最推荐在<VirtualHost>块内配置LimitRequestLine，因其为服务器级指令，不支持.htaccess；设为2048–4096字节，重启Apache后用curl测试返回414状态码验证生效。
直接在虚拟主机（<VirtualHost>）配置块内设置 LimitRequestLine，是最精准、最推荐的做法。它能针对单个站点生效，避免全局收紧影响其他服务，也绕开了 .htaccess 无效的限制。
必须放在 <VirtualHost> 里，不能写在 .htaccess 中
LimitRequestLine 是服务器级指令，Apache 明确不支持在目录级配置文件中使用。写进 .htaccess 不会报错，但会被完全忽略——这不是你配错了，而是 Apache 的设计机制决定的，无法变通。
- 只允许出现在主配置文件（如
/etc/apache2/apache2.conf）、<VirtualHost>块、或<Directory>块（需AllowOverride Limit启用） - 若站点用了多个虚拟主机，建议每个
<VirtualHost>都单独加一行，确保全覆盖 - 别依赖“默认值”，XAMPP 等开发环境默认是 8190，远超安全边界，极易被用于触发解析异常或子进程崩溃
合理取值范围：2048–4096 字节
真实业务中，合法 GET 请求极少超过 2048 字节；超过 4096 的基本可判定为异常。设太高起不到防护作用，设太低可能误杀含长 Token 或深度参数的正常请求。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 起步建议设为
LimitRequestLine 2048，上线前用实际流量压测 - 若后端有 OAuth 跳转、WebDAV 路径拼接、或前端 SDK 自动注入长查询参数，可酌情调至 4096
- 绝对不要设为 0（禁用限制）或超过 8192（如 10000），这等于主动放宽攻击面
配套配置不可少：LimitRequestFieldSize 和 LimitRequestFields
只拦 URL 长度不够。攻击者可构造大量短头或单个超长头绕过，必须组合防御：
-
LimitRequestFieldSize 2048：限制每个请求头值最大字节数（注意是字节，不是字符），防 Base64 Token、恶意填充 Cookie -
LimitRequestFields 40：限制单个请求最多含多少个 HTTP 头，现代应用含 JWT、Sentry、TraceID 等通常 30–40 个已足够 - 这两项也必须写在
<VirtualHost>或主配置中，.htaccess同样无效
配置后务必验证是否真正生效
保存配置不等于防护就位。必须执行两步验证：
- 先检查语法：
sudo apache2ctl -t（Debian/Ubuntu）或sudo httpd -t（RHEL/CentOS），确认无报错 - 再实测拦截：
curl -v "http://yoursite.com/$(printf 'a' {1..4500})"，应返回414 URI Too Long，而非 500、超时或静默截断 - 若用了
mod_proxy反向代理，注意该限制只作用于 Apache 接入层，后端服务（如 Node.js、Tomcat）仍需各自设防
