防范Slowloris攻击的关键是在TLS握手完成后、HTTP处理开始前主动切断“建连不发全头”的连接；核心是client_header_timeout设为3–15秒（依场景而定），并配套reset_timedout_connection on、limit_conn和缓冲区调优，配合日志与指标监控验证实效。
防范 Slowloris 类慢速死连接攻击，关键不是等连接“变慢”再处理，而是从连接生命周期的起点就主动设限、快速清理。Nginx 作为代理网关，必须在 TLS 握手完成后、HTTP 处理开始前，就切断那些“建了连、只发半截头、长期不补空行”的异常连接。
client_header_timeout：卡死慢速头部的第一道硬闸
这是防御 Slowloris 最直接有效的参数。它从客户端发送第一个字节起计时，到完整收到 \r\n\r\n（即请求头结束标志）为止。超时即返回 408 并立即断连，不进 upstream、不占后端资源、不记完整 access log。
- 公网暴露的 API 网关：建议设为 7 秒，兼顾跨境延迟与扫描器拦截效果
- 内网服务或 Kubernetes Ingress 后置：可压至 3–5 秒，链路稳定无干扰
- 含 JWT、多段 Cookie 或 SSO 头的鉴权网关：先开启日志记录
$request_time，观察 P99 头部接收耗时，再加 2–3 秒缓冲，上限不超过 15 秒 - 切勿低于 3 秒：部分老旧终端、高丢包移动网络可能出现合法延迟，易误杀
配套必须启用的三项协同配置
单设 client_header_timeout 效果有限，需与以下配置咬合形成闭环：
-
reset_timedout_connection on;：超时后直接发 RST 包中断连接，跳过四次挥手，立即释放 socket 和文件句柄，避免 TIME_WAIT 滞留 -
limit_conn_zone $binary_remote_addr zone=perip:10m;+limit_conn perip 10;：限制单 IP 初始并发连接数，防攻击者用多个地址绕过 timeout -
client_header_buffer_size 4k;+large_client_header_buffers 4 16k;：确保能容纳合法大 header（如长 Token），避免因缓冲不足触发重试或 400 错误，反而延长等待
收紧全链路其他关键 timeout
Slowloris 攻击常组合使用不同阶段的拖延行为，需同步管控：
-
ssl_handshake_timeout 5s（Nginx 1.19.0+）：强制 TLS 握手在 5 秒内完成，拦截畸形或故意拖慢握手的客户端 -
client_body_timeout 10s：防止攻击者发完头后转入慢传 body；保持proxy_request_buffering on才生效 -
keepalive_timeout 5–8s+reset_timedout_connection on：缩短 HTTPS 空闲长连接存活时间，避免被复用为慢速扫描通道 -
send_timeout 8–12s（普通接口）或60–300s（流式响应）：控制响应发送节奏，防 Slow Read 类攻击
监控与验证是否生效
仅配参数不够，需通过日志和指标确认防护落地：
- 在 error_log 中关注关键词：
client timed out (read header)，这是 Slowloris 被拦截的直接证据 - 增强 access_log 记录
$request_time和$upstream_response_time，统计同一 IP 的请求间隔是否呈现高度规律性（如每 10–15 秒一次） - 用
stub_status或nginx-module-vts查看Reading连接数是否长期高位——若远高于Writing和Waiting，说明大量连接卡在收头阶段 - Prometheus 中监控
nginx_connections_reading，超过 worker_connections 的 80% 并持续 2 分钟即告警
