Nginx 处理超长 Cookie 导致的 400 错误_Redis

当用户 cookie 过长（例如含大量跟踪参数、登录态或前端埋点数据），nginx 默认的 client_header_buffer_size（通常为 1k 或 4k）可能不足以容纳完整的请求头，导致直接返回 400 bad request，且日志中常出现 client sent too large header 或 too long uri 类似提示——这不是应用层问题，而是 nginx 在解析 http 请求头阶段就拒绝了连接。

问题现象

400 bad request
request header or cookie too large

这是 nginx 默认安全限制触发的错误，当 http 请求头（特别是 cookie）超过配置阈值时返回。

根本原因

nginx 有几个关键配置参数控制请求头大小：

参数	默认值	作用
large_client_header_buffers	4 8k	大请求头缓冲区大小和数量
client_header_buffer_size	1k	初始请求头缓冲区大小
client_max_body_size	1m	请求体最大大小

触发条件：

单个 cookie 过大（如存储 jwt、大量用户数据）
cookie 数量过多（如第三方统计脚本堆积）
请求头总大小超过缓冲区限制

解决方案

方案一：调整 nginx 缓冲区配置（推荐）

http {
    # 增大初始缓冲区到 4kb
    client_header_buffer_size 4k;
    # 设置大请求头缓冲区：4个8kb缓冲区（最大32kb）
    large_client_header_buffers 4 8k;
    # 或者更大（根据实际需求）
    # large_client_header_buffers 8 16k;  # 最大128kb
    include /etc/nginx/conf.d/*.conf;
}

针对特定站点（server 块配置）：

server {
    listen 80;
    server_name example.com;
    # 为该站点单独设置更大的限制
    client_header_buffer_size 8k;
    large_client_header_buffers 4 16k;
    location / {
        proxy_pass http://backend;
    }
}

方案二：清理/优化 cookie（治本）

如果 cookie 过大是因为业务逻辑问题，建议从源头解决：

// 前端：避免存储过多数据到 cookie
// ❌ 错误做法：将大量数据存 cookie
document.cookie = "userdata=" + json.stringify(hugeobject);
// ✅ 正确做法：cookie 只存会话id，数据存 localstorage/后端
document.cookie = "sessionid=" + sessionid;  // 仅少量关键数据

常见 cookie 瘦身场景：

jwt token 过长 → 使用 refresh token 机制
存储用户权限列表 → 改为存用户id，权限放后端缓存
第三方脚本（ga、百度统计等）cookie 堆积 → 定期清理

方案三：删除特定过大的 cookie

如果无法立即修改代码，可用 nginx 拦截处理：

server {
    listen 80;
    server_name example.com;
    # 删除特定的超大 cookie（正则匹配）
    if ($http_cookie ~* "oversized_cookie=[^;]+") {
        set $new_cookie $http_cookie;
        # 复杂处理需要 lua 模块或外部脚本
    }
    # 或使用第三方模块 ngx_http_rewrite_module 清理
    more_clear_headers cookie;  # 需要 headers-more-nginx-module
}

方案四：使用 lua 模块精确处理（openresty）

server {
    listen 80;
    access_by_lua_block {
        local cookie = ngx.var.http_cookie
        if cookie and #cookie > 8192 then  -- cookie 超过 8kb
            -- 只保留必要的会话 cookie
            local new_cookie = ngx.re.match(cookie, "session=[^;]+")
            if new_cookie then
                ngx.req.set_header("cookie", new_cookie[0])
            end
        end
    }
    proxy_pass http://backend;
}

参数详解与计算

large_client_header_buffers 4 8k;
# 含义：
# - 4：缓冲区数量（最多同时处理4个大请求头）
# - 8k：每个缓冲区大小
# - 总容量 = 4 × 8k = 32kb（单个请求头最大）

如何选择数值？：

场景	推荐配置
普通网站	`4 8k`（默认或略增）
有 jwt 认证	`4 16k` 或 `8 8k`
企业级应用/大量权限数据	`8 32k`
极端情况（临时方案）	`8 64k`（不建议长期使用）

验证与调试

1. 查看当前请求头大小

# 查看 nginx 错误日志确认问题
tail -f /var/log/nginx/error.log
# 典型错误信息：
# client sent too long header line: "cookie: ..."

2. 测试 cookie 大小

# 发送大 cookie 测试
curl -h "cookie: $(python3 -c 'print("x="+"a"*10000)')" \
     http://your-site.com

3. 检查当前配置

nginx -t | grep -e "(client_header|large_client)"

安全注意事项

⚠️ 不要无限制增大缓冲区：

# ❌ 危险配置：容易遭受缓冲区溢出攻击
large_client_header_buffers 100 1m;  # 100mb 总缓冲！

建议原则：

先尝试清理 cookie（治本）
调整配置时遵循最小必要原则
配合 limit_req 防止 dos 攻击

# 同时配置请求限制
http {
    limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
    server {
        limit_req zone=req_limit burst=20 nodelay;
        large_client_header_buffers 4 16k;
    }
}

根据您的具体场景，建议优先尝试方案一快速恢复服务，同时规划方案二从根本上优化 cookie 设计。

到此这篇关于nginx 处理超长 cookie 导致的 400 错误的文章就介绍到这了,更多相关nginx 处理超长cookie 400 错误内容请搜索代码网以前的文章或继续浏览下面的相关文章希望大家以后多多支持代码网！

Nginx 处理超长 Cookie 导致的 400 错误

2026年04月20日 • Redis •我要评论