必须在server块内成对配置client_header_buffer_size和large_client_header_buffers，前者为初始缓冲（推荐2k/4k），后者单块大小须≥前者（如4 8k），且需配合client_header_timeout、underscores_in_headers等加固项。
在 Server 块中配置客户端请求头缓冲区，核心是用 client_header_buffer_size 和 large_client_header_buffers 这两个指令协同控制，不是调大单个值就能生效，必须成对设置、位置正确、参数匹配。
必须放在 server 块内，不能写在 location 或 if 里
Nginx 明确禁止将这两个指令放在 location、if 或其他嵌套块中，否则启动时会报错 directive is not allowed here。它们只在 server 级别生效，覆盖该域名或 IP 下所有请求（除非被更内层 location 显式覆盖）。
- 正确位置：server { … } 大括号内部，且在 listen、server_name 之后，location 之前
- 错误位置：任何 location / {...} 内部、if ($host) {...} 中、或者 http 块顶层（那是全局默认，不满足“单站”需求）
参数要匹配，避免扩容逻辑失效
client_header_buffer_size 是“第一道门”，large_client_header_buffers 是“备用通道”，二者大小关系决定是否能真正扩容：
- client_header_buffer_size 设为初始缓冲大小，推荐 2k（普通网站）或 4k（含 JWT、多 Cookie、traceparent 的 API 场景）
-
large_client_header_buffers 格式为 数量 单个大小，例如
4 8k；其中“单个大小”必须 ≥ client_header_buffer_size，否则 Nginx 启动失败 - 常见有效组合：
client_header_buffer_size 4k;+large_client_header_buffers 4 8k;（支持最大单头 8KB，总上限 32KB） - 避免设成
8k+4 4k—— 单 buffer 不够装下超长头，扩容不触发，仍返回 400
配套加固项建议一并开启
光调缓冲区只是基础，还需防慢速攻击和头解析绕过：
- client_header_timeout 8s：限制读取请求头的总等待时间，超时即断连，防 Slow HTTP Header 攻击
- underscores_in_headers off：禁用下划线解析，防止 X_Api_Key 被误转为 x-api-key，绕过鉴权或引发歧义
- HTTP/2 场景额外加：
http2_max_header_size 32k;和http2_max_field_size 4k;，否则上述配置无效
怎么验证配置是否起作用
不要只看重启成功，要结合日志和实际请求验证：
- 检查 error.log 是否出现 request header or cookie too large —— 出现说明缓冲仍不足，需调参
- 用 curl 构造带长 Authorization 或多段 Cookie 的请求，观察是否返回 400 或正常响应
- 若业务有登录接口等敏感入口，可临时缩小缓冲（如 1k + 2 4k），再配合日志采样，识别异常头模式
