HTTP/2安全防护需强化TLS层与Nginx协同配置：禁用TLS 1.0/1.1、不安全套件，启用TLS 1.3和PFS；谨慎使用Server Push，限制并发流与头部大小；配合WAF解析HTTP/2流量并审计日志；定期验证协议协商与合规性。
HTTP/2 本身不是安全协议，它依赖 HTTPS（即 TLS 加密）才能启用，主流浏览器也强制要求 HTTP/2 必须运行在加密通道上。因此，“针对 HTTP/2 的安全防御”本质上是强化 TLS 层与 Nginx（或类似服务器）的协同配置，防止因协议特性被滥用或暴露攻击面。
确保 TLS 基础足够健壮
HTTP/2 运行的前提是 TLS 1.2 或更高版本，且不能使用已知不安全的加密套件。弱 TLS 配置会直接削弱整个 HTTP/2 连接的安全性。
- 禁用 TLS 1.0 / TLS 1.1：仅保留 TLS 1.2 和 TLS 1.3（推荐优先启用 TLS 1.3）
- 禁用不安全加密套件：如 SSLv3、RC4、DES、3DES、MD5、SHA1 相关套件
- 优先选用前向保密（PFS）套件：例如 ECDHE-ECDSA-AES256-GCM-SHA384 或 ECDHE-RSA-CHACHA20-POLY1305
- 证书必须由可信 CA 签发，私钥长度 ≥2048 位（推荐 3072 或 ECDSA secp384r1）
限制 HTTP/2 特有功能的潜在风险
HTTP/2 引入了服务器推送（Server Push）、流优先级、头部压缩等新机制，其中部分功能若配置不当可能成为攻击入口。
- 谨慎启用 http2_push：避免推送未经验证的资源，尤其不要推送动态生成内容；生产环境建议默认关闭，按需显式配置
- 设置合理的流并发限制：http2_max_concurrent_streams 128（默认值通常够用，高负载可调至 256，避免资源耗尽）
- 限制头部大小与数量：http2_max_field_size 8k、http2_max_header_size 16k，防头部膨胀攻击
- 禁用不必要扩展：如不使用 ALPN 协商以外的 HTTP/2 扩展，不在配置中引入非标准帧类型
配合 WAF 与日志审计增强纵深防御
HTTP/2 流量虽为二进制格式，但现代 WAF（如云 WAF、ModSecurity 3.0+）已支持解析和规则匹配。关键在于开启对应能力并校准策略。
- 确认 WAF 控制台中“是否启用 HTTP/2 协议”选项已打开（如华为云 WAF、阿里云 WAF 均有该开关）
- 启用 TLS 握手日志与 HTTP/2 连接级日志（如 Nginx 的 error_log ... debug_http2），用于分析异常连接行为
- 监控 SETTINGS frame flood、PING flood、RST_STREAM 频发 等典型 HTTP/2 DoS 指标
- 对代理链路（如 Nginx → 后端 Spring Boot）禁用 HTTP/2，后端统一走 HTTP/1.1，减少攻击面扩散
定期验证与合规对齐
配置完成不等于持续安全。HTTP/2 安全需结合自动化检测与标准对标。
- 使用 curl -I --http2 https://yoursite.com 验证协议协商是否成功
- 通过 https://http2.pro 或 SSL Labs SSL Test 扫描 TLS 配置强度与 HTTP/2 支持状态
- 检查是否满足等保2.0“传输保密性”与“通信传输保护”条款，特别是 TLS 版本、密钥交换、证书有效性
- 若涉及金融或政务系统，确认未启用已被 IETF 标记为废弃的特性（如早期 Server Push 实现）
