Nginx 无原生请求头长度变量，需用 $request_length 减 $content_length 估算：GET/HEAD 时≈$request_length，POST/PUT 时≈$request_length−$content_length；再通过 awk 统计分布并检查 client_header_buffer_size 等配置。
要分析 Nginx 日志中请求头的大小分布，核心是记录并提取 $request_length 变量——它表示整个请求（含请求行、所有请求头和请求体）的字节数。但注意：它不直接等于请求头大小，需结合其他字段估算或通过配置间接获取更准确的头大小信息。
确认日志格式是否包含关键变量
Nginx 默认日志不记录请求头大小，必须手动在 log_format 中加入 $request_length（总请求长度）和 $body_bytes_sent（响应体大小），再辅以 $request_body 或 $content_length 推算：
-
$request_length：从客户端接收到的完整请求数据长度（单位：字节），含方法、路径、协议、所有 Header 和 Body -
$content_length：请求头中的Content-Length字段值（仅对带 body 的 POST/PUT 有效），反映请求体大小 -
$request_body：仅在启用proxy_pass或fastcgi_pass且配置了client_body_buffer_size时可用，一般不建议用于日志（性能开销大）
推荐基础日志格式示例：
log_format header_size '$remote_addr [$time_local] "$request" '
'$status $body_bytes_sent $request_length $content_length '
'"$http_user_agent" "$http_x_forwarded_for"';估算请求头大小的实用方法
由于 Nginx 没有原生 $headers_length 变量，常用估算逻辑为：
- 对无请求体的 GET/HEAD 请求：
请求头大小 ≈ $request_length（因无 body，$request_length 基本等于请求行 + 所有 headers） - 对有请求体的 POST/PUT 请求：
请求头大小 ≈ $request_length - $content_length（前提是 $content_length 准确且未被篡改） - 若 $content_length 为空或不可靠（如 chunked 编码），该估算会偏大，此时可结合
$http_transfer_encoding判断编码方式
用命令行快速统计分布
假设日志已启用 $request_length 和 $content_length，可使用以下 awk 脚本分段统计请求头大小区间频次：
awk '{
if ($11 == "-") head_len = $10; # $10 是 $request_length，$11 是 $content_length（空则用 "-" 占位）
else if ($11 > 0) head_len = $10 - $11;
else head_len = $10;
if (head_len < 512) a++;
else if (head_len < 1024) b++;
else if (head_len < 2048) c++;
else d++;
} END { print "0-512B:",a,"512-1KB:",b,"1-2KB:",c,">2KB:",d }' access.log输出类似：0-512B: 12456 512-1KB: 3217 1-2KB: 892 >2KB: 103，直观反映头部膨胀情况。
关联配置排查异常大请求头
若发现大量请求头超过 1KB，需检查 Nginx 头缓冲配置是否合理：
-
client_header_buffer_size 1k;：第一级缓冲，处理常规请求头 -
large_client_header_buffers 4 8k;：第二级缓冲池，应对超长 header（如含大量 Cookie 或自定义追踪头） - 若日志中频繁出现
400 Bad Request且$request_length接近或超过client_header_buffer_size + large_client_header_buffers总和，说明缓冲不足，需调大
