HTTP/2 与 HTTP/3 协议安全：请求走私与 QUIC 放大风险

发表于：2026-05-12|最后更新：2026-05-13|分类：网络安全与检测|阅读：211 次

HTTP/2 的 HPACK 头部压缩与二进制帧若在网关转换回 HTTP/1.1 时处理不一致，可能引发请求走私（Request Smuggling）；QUIC 无状态重试机制若配置不当则可能被用于流量放大。

一、Nginx 防御性配置

nginx

# 严格校验 Content-Length 与 Transfer-Encoding 冲突
http {
    ignore_invalid_headers on;
    merge_slashes on;

    server {
        listen 443 ssl http2;
        # 拒绝同时携带 Content-Length 与 Transfer-Encoding 的请求
        if ($http_transfer_encoding ~* chunked) {
            set $te_block 1;
        }
    }
}