真实反映用户网络异动的信号不是408，而是连接建立失败、首字节延迟极高且请求未完成、客户端发完Host后静默超时；需通过日志字段组合与error_log交叉验证，而非单纯统计408数量。
直接看 Apache 或 Nginx 的 access log 里真实的 408，不能反映客户端网络异动——它多数是服务端主动防御行为，或前端伪造，和用户真实弱网、丢包、TLS 握手慢等无关。
真正能反映“用户端网络异动导致请求中止”的信号，不是 408，而是：
- 连接建立阶段失败（TCP SYN 无响应、RST 包、SSL handshake timeout）
-
首字节延迟极高但未完成请求（
$request_time大、$status为空或为-） -
客户端在发完
Host:后长时间静默，最终被client_header_timeout中断（此时$request_time ≈ timeout，且$request字段残缺）
所以排查思路要转向日志字段组合 + error_log 辅证，而非单纯统计 408 数量。
? 真实 408 是否来自用户网络问题？先做三重过滤
Apache/Nginx 日志中每条 408 都需验证是否具备以下特征，否则大概率是配置行为或代理伪造：
-
$status == "408" -
$body_bytes_sent == 0（或 22，HTTP/1.1 默认空体） -
$request_time接近你设置的Timeout/client_header_timeout值（如设了 10s，$request_time在 9.9–10.1s 区间） -
$request字段不完整（比如只有GET / HTTP/1.1，缺Host:或后续头）
满足以上四点，才可能是客户端网络异常导致的请求传输中止。
用 awk 快速筛出这类记录：
awk '$9 == "408" && $10 == 0 && $12 > 9900000 && $12 < 10100000 && $7 ~ /^GET|POST[[:space:]]+\// {print $1, $4, $7, $12}' /var/log/apache2/access.log（假设 %D 是第 12 字段，单位微秒； 是 %b，即 body 字节数）
? 如何量化“客户端网络异动引发的中止比例”？
不要用 408总数 / 总请求数 —— 分母错、分子杂，毫无业务意义。
正确分母应是：所有已成功建立 TCP 连接、且至少发送了部分请求头的请求（即排除 SYN timeout、RST、SSL fail 等更底层失败）。
可用两个指标交叉判断：
-
$request_time≥ 3s 且$status == "-"的请求数
表示连接已建，但客户端没发完请求头就断了（Nginx 记为-），这是弱网/中断最典型痕迹 -
error_log 中
client timed out while reading client request headers出现频次
比 access log 更早、更准，且带 client IP 和 connection ID，可关联分析
建议每分钟统计：
# 统计疑似弱网中止（access log）
awk -v d="$(date -d '1 minute ago' +'%d/%b/%Y:%H:%M:[0-5][0-9]')"' \
'$4 ~ d && $12 >= 3000000 && $9 == "-" {c++} END {print c}' \
/var/log/nginx/access.log
# 统计 error_log 中对应超时事件
grep -c "$(date -d '1 minute ago' +'%Y/%m/%d %H:%M')" \
/var/log/nginx/error.log | grep -o 'client timed out.*headers'再算比例：(weak_aborts + header_timeout_errors) / total_established_requests
其中 total_established_requests 可用 $status != "-" 的请求数粗略替代（需排除 499 客户端主动断连）。
?️ 如何区分攻击流量 vs 真实用户网络异动？
同一 IP 短时高频 408（如 1 分钟内 ≥5 次）+ $request_time 高度集中（标准差 < 200ms）→ 大概率是慢速攻击（Slowloris 类）
分散 IP + 多 UA + $request_time 分布宽（如 2–10s）+ 伴随大量 499 或 timeout error_log → 更倾向真实弱网（跨境、老旧设备、移动蜂窝）
可加一列标记：
awk '$9 == "408" && $12 > 9900000 {
ip[$1]++
time[$1] = time[$1] " " $12
}
END {
for (i in ip)
if (ip[i] >= 5) print "ATTACK:", i, ip[i], "times"
}' /var/log/nginx/access.log✅ 关键动作清单
- 确保 log_format 包含
$request_time、$status、$body_bytes_sent、$request - 开启
error_log ... info;，别只盯 access log -
client_header_timeout设为 10–15s（公网）或 20s（含 SSO/多 Cookie 场景），避免误杀 - 不依赖 408 总数告警，改用「
$status == "-"+$request_time > 3s」分钟级突增告警 - 对高频 408 IP，结合 geoip 和 UA 判断是否集中于某地区/某 App 版本，推动客户端修复
不复杂但容易忽略。
