Go http.Server MaxHeaderBytes 设置后为什么仍能收到大请求头

如果设置了 http.Server.MaxHeaderBytes 后仍然能收到“大请求”，先不要把它当成参数失效。这个字段限制的是 Go 服务端解析请求行和请求头时读取的字节范围，包含请求行，但不限制请求体；而且配置只有挂在真正负责监听的那个 http.Server 上才会生效。

官方地址：https://pkg.go.dev/net/http#Server.MaxHeaderBytes

先把“请求太大”拆成两种边界

一次 HTTP 请求可以粗略分为请求行、请求头和请求体。请求行里有方法、路径和协议版本；请求头包含 Cookie、Authorization 以及业务自定义字段；请求体则承载 JSON、表单或上传内容。MaxHeaderBytes只参与前两部分的解析，不会因为 Body 很大就自动阻止 Handler 读取。

因此，看到“大请求”时要先问：超出的是 Header，还是 Body？如果是请求行或请求头超限，连接可能在 Handler 运行前就被拒绝；如果是请求体超限，通常已经进入 Handler，需要显式包裹读取器。

配置写在了 Server 上，为什么仍然不生效

最常见的原因是配置对象没有真正用于启动服务。下面的写法创建了自定义 Server，并把 MaxHeaderBytes 设为 16 KiB，随后必须调用这个对象的 ListenAndServe：

package main

import (
	"log"
	"net/http"
)

func main() {
	server := &http.Server{
		Addr:           ":8080",
		Handler:        http.HandlerFunc(handle),
		MaxHeaderBytes: 16 

如果代码同时保留了下面这种便捷启动方式，配置就可能被绕开：

// 这会创建并使用一个新的默认 Server，不会读取上面的自定义字段。
log.Fatal(http.ListenAndServe(":8080", http.HandlerFunc(handle)))

排查时先沿着启动入口向上追：谁创建了 http.Server，谁调用了 ListenAndServe，中间是否被框架重新创建了 Server。只要实际监听对象不是你配置的对象，继续调整字段都不会改变结果。

前置代理和 Go 解析层可能各自有一套限制

生产请求常常先到达反向代理、网关或负载均衡，再转发到 Go 服务。前置层可以在请求到达 Go 之前拒绝过大的请求头；如果前置层放行，Go 仍会按自己的 MaxHeaderBytes 再解析一次。反过来，Go 已经接收请求，也不代表处理器一定会接受它的 Body。

下面这张图把三类边界放在同一条链路里：代理层的请求头限制、Go 的请求头解析限制，以及处理器读取请求体时的限制。错误码只是线索，关键是看错误发生在链路的哪一段。

请求体要用 MaxBytesReader 单独限制

如果真正想限制上传 JSON 或文件大小，应在 Handler 中对 r.Body 包一层 http.MaxBytesReader。它和 MaxHeaderBytes 是两个不同阶段的限制，不能互换。

func handleUpload(w http.ResponseWriter, r *http.Request) {
	// 这里只限制请求体，8 MiB 不包含在 MaxHeaderBytes 的范围内。
	r.Body = http.MaxBytesReader(w, r.Body, 8

示例中的 8 只是请求体上限，实际项目应根据接口用途设置，并结合代理层的 Body 限制保持一致。不要为了让大上传“成功”而盲目增大请求头上限，这会把两个完全不同的问题混在一起。

一份按链路推进的排查清单

1. 确认请求到底大在哪里：检查请求行、Cookie、自定义 Header，还是 Body。
2. 确认入口：查看客户端访问的是否是代理地址，代理是否有独立的 Header/Body 限制。
3. 确认 Server：搜索实际启动代码，确保配置字段所在的对象调用了 ListenAndServe 或 Serve。
4. 确认阶段：看 Go Handler 是否执行过；没有执行通常先查解析层，有执行再查 Body 读取。
5. 确认参数关系：Header 用 MaxHeaderBytes，Body 用 MaxBytesReader，不要只修改其中一个。

这样排查的好处是每一步都能排除一层，而不是反复把 MaxHeaderBytes 调大。它的职责是保护请求解析边界，不是一个覆盖代理、请求头、请求体和业务校验的总开关。

相关问题

MaxHeaderBytes 会限制上传文件大小吗？

不会。它限制服务器解析请求行和请求头时读取的字节范围；上传文件属于请求体，应使用 MaxBytesReader 或业务层的流式限制。

为什么请求头很大但仍然进入了 Handler？

可能是实际大小仍低于当前限制，也可能是配置没有挂在真正监听的 Server 上。还要排除请求先经过代理、框架重新创建 Server 或你观察到的“大”其实是 Body。

把 MaxHeaderBytes 调大就能解决 431 吗？

不一定。431 可能来自前置代理或 Go 解析层；先确认响应由哪一层产生，再决定是否调整配置。更稳妥的方向通常是减少无用 Cookie 和 Header，而不是无限增大上限。