ReadHeaderTimeout是Go HTTP服务器中限制读取完整请求头的最大耗时，防的是客户端发完部分请求头后停滞的假死场景（如slowloris攻击、弱网中断、崩溃残留连接）。
ReadHeaderTimeout 是什么，它防的是哪种假死
ReadHeaderTimeout 控制的是从 TCP 连接建立完成（含 TLS 握手）开始，到服务器**完整读完 HTTP 请求头**（即第一行 + 所有 Header 行）的最大耗时。它不关心请求体（Body）有没有发完，也不管后续响应怎么处理。
它防的典型假死是：客户端连上了，也发了 GET /api/v1/users HTTP/1.1 和几个 Host:、Authorization: 头，但卡在中间——比如只发了一半 Cookie: 头就断网、或故意慢速发送（slowloris 攻击）、或客户端崩溃后残留半开连接。此时连接处于 ESTABLISHED 状态，但服务端一直在等下一行 header，不超时就不会释放资源。
这种场景下，ReadTimeout 无效（它要等完整 body），IdleTimeout 也不触发（连接不是空闲，而是在“读 header”这个阻塞调用里）。只有 ReadHeaderTimeout 能及时打断。
ReadHeaderTimeout 和 ReadTimeout 的关键区别
这两个字段常被混淆，但作用阶段完全不同：
-
ReadHeaderTimeout：只覆盖「接收并解析请求头」这一段，计时起点是连接就绪后第一个read()调用，终点是\r\n\r\n出现 -
ReadTimeout：覆盖「整个请求输入流」，包括请求头 + 请求体，计时起点相同，但终点是 body 全部读完（或 EOF）
如果只设 ReadTimeout（比如 30 秒），而客户端发完 header 后停住、不发 body，服务端会傻等满 30 秒才关连接；但若同时设了 ReadHeaderTimeout: 5 * time.Second，5 秒内没收到完整 header 就直接关闭，根本不会进 body 读取逻辑。
注意：ReadHeaderTimeout 在 Go 1.19+ 中已正式替代旧版 ReadTimeout 对 header 阶段的隐式控制，且优先级更高。
配置 ReadHeaderTimeout 的实操要点
它必须通过 http.Server 实例显式设置，不能靠默认值——Go 原生服务器默认为 0（即无限等待）。
常见错误配置和建议如下：
- 别漏掉它：即使你设了
ReadTimeout，也要单独配ReadHeaderTimeout，否则 header 半截卡住仍会假死 - 值不宜过大：一般设
2 * time.Second到5 * time.Second足够。移动端弱网或代理链路长的场景可放宽到 8 秒，但超过 10 秒就失去“防假死”意义 - 不要和
IdleTimeout搞混：IdleTimeout是连接空闲时长（比如 header 和 body 都读完了，但客户端迟迟不发新请求），它不管 header 读取过程 - HTTPS 场景下，TLS 握手耗时不计入
ReadHeaderTimeout——握手由底层net.Conn完成，ReadHeaderTimeout计时从握手成功后第一个字节开始
示例写法：
server := &http.Server{
Addr: ":8080",
Handler: myHandler,
ReadHeaderTimeout: 3 * time.Second,
ReadTimeout: 30 * time.Second,
WriteTimeout: 10 * time.Second,
IdleTimeout: 60 * time.Second,
}
为什么 ReadHeaderTimeout 不生效？常见排查点
设了但不起作用，大概率是以下原因：
- 用了
http.ListenAndServe()或http.ListenAndServeTLS()：它们内部创建的http.Server实例未暴露配置入口，ReadHeaderTimeout必须手动构造http.Server并调用.Serve()或.ServeTLS() - 启动前未赋值：字段必须在
server.ListenAndServe()调用前设置，运行中修改无效 - 被反向代理或 CDN 拦截：某些网关（如 Nginx、Cloudflare）会缓冲并重写请求头，导致 Go 服务实际收到的是“已组装好”的完整 header，
ReadHeaderTimeout变成无意义的兜底 - 日志没打出来：超时发生时，Go 默认只关闭连接，不输出日志。需自行包装
http.Handler或监听server.RegisterOnShutdown来捕获异常关闭
最隐蔽的一点：如果你启用了 HTTP/2，ReadHeaderTimeout 会被忽略——HTTP/2 使用帧机制，没有传统意义上的“header 块边界”，该字段仅对 HTTP/1.x 生效。此时应依赖 IdleTimeout 和连接层保活机制。
