curl 8.22 不再静默丢弃大型自定义请求头：代理客户端需要重新测试什么
curl 8.22.0 于 2026 年 9 月 2 日发布，其中修复了一项官方称为“http: stop dropping large custom headers”的请求构造问题。项目记录指出，自 curl 8.13.0 起，超过响应头解析器限制的自定义请求头可能被静默省略或错误解释。
修复后，出站自定义字段和令牌检查改用分隔符解析。能够放入目标请求缓冲区的字段会被发送；无法放入时，请求明确返回 CURLE_TOO_LARGE。相比发送一个认证、签名、追踪或业务上下文已经悄悄变化的请求，明确失败更安全，也更容易排查。
为什么代理工作流需要关注
使用代理的数据采集与验证任务，常为已授权的目标 API、内部关联、内容协商或签名请求添加自定义头。字段缺失可能造成：
- 代理连接正常，但目标拒绝请求；
- 实际线上请求与签名输入不同，导致签名失败；
- 追踪系统丢失用于关联客户端和网关证据的操作编号；
- 应用进入通用重试并无意义地轮换出口；
- 上游返回默认内容，表面状态码正常但业务结果错误。
这不代表所有代理认证头都受影响，也不表示 curl 现在允许无限大的请求头。修复针对自定义出站 HTTP 头处理；请求缓冲区、服务器、代理与网关仍有各自限制。
识别需要检查的客户端
盘点使用 curl 或 libcurl 8.13.0 至 8.21.0 且会发送自定义 HTTP 头的应用。检查嵌入式 SDK、容器和语言绑定，不能用同一主机上的命令行 curl 版本代替实际运行库。
优先检查：
- 较大的签名元数据或结构化授权字段；
- 合法但较长的追踪或策略上下文；
- 动态拼接的请求头列表；
- 涉及跳转或代理隧道、字段作用域会改变的请求；
- 只依赖 HTTP 状态码判定成功的任务；
- 目标拒绝后自动重试的工作流。
盘点表不得复制真实字段值，只记录字段名、长度范围、负责人、敏感级别、目标范围与构造路径。
建立受控回归测试
使用自行控制的测试目标与代理。目标端只回传收到的字段名、字节长度以及字段值摘要，绝不能回传敏感值。测试内容使用不含凭证与个人数据的合成字符串。
至少准备四种尺寸：
- 普通小字段；
- 低于旧响应解析边界的字段；
- 较大但应能放入出站请求缓冲区的字段；
- 明确无法放入的超大字段。
在当前生产客户端和 curl 8.22.0 上运行相同用例。对预期可发送的字段，目标端观察到的长度和摘要必须完全一致；对超限用例，应明确得到 CURLE_TOO_LARGE，并确认目标端没有收到部分请求。
验证线上请求，而不是配置对象
传输前记录“已添加请求头”，只能证明应用生成了值，不能证明字段已发送。应在授权测试目标或受控 TLS 终止网关验证线上证据。
建议记录测试编号、客户端版本、字段名、预期与实际长度、预期与实际摘要、curl 结果、HTTP 状态、跳转序号和代理路线别名。保存前对值做脱敏或哈希。禁止开启会暴露代理密码、Cookie、令牌或客户数据的生产详细日志。
分开测试代理与目标字段范围
HTTP 代理请求和目标站请求属于不同边界。访问 HTTPS 目标时，客户端可能先向代理发送 CONNECT，再在隧道内发送目标请求。代理专用字段属于代理交换，目标字段属于隧道内请求。
测试必须证明目标自定义头不会泄露到无关的代理交换，同时代理专用字段不会被转发到目标。至少包含直连对照、HTTP 代理路线和通过 CONNECT 访问 HTTPS 目标三种路径。
遇到 407 可参考 curl 代理认证排错指南，并把代理认证与目标返回的 401 或 403 分开记录。
加入跳转与方法变化
跳转可能改变目标主机，也会改变敏感字段的安全范围。分别测试同源与跨源跳转，并在测试前定义哪些字段允许跟随。不能仅因为新主机可访问，就把敏感字段转发给未经批准的主机。
记录每一跳、有效目标别名和字段存在结果。若 URL 含用户数据或令牌，不要保存完整地址。最终返回 200，也不能证明中间请求没有丢失或泄露字段。
检查签名与规范化
签名请求对静默变化尤其敏感。客户端签名的字段名和值必须与目标收到并按规范化处理后的内容一致。只在签名规范允许的范围内测试空白、空值、重复字段和字段名大小写。
不能为了让签名通过，就在未经安全评审时把字段从签名集合删除。应升级受影响客户端，确保请求在正式限制内，并在无法证明线上请求时安全失败。
限制失败与重试
CURLE_TOO_LARGE 是确定性的本地构造失败，不是临时网络问题。它不应触发代理轮换、快速重试或直连回退，应进入配置或负载尺寸告警。
如果升级后把过去的静默省略变成明确失败，应检查字段为何过大。在协议支持时，优先改用有文档的请求体字段、服务端引用或更小的声明集合。除非接收协议明确允许，不要随意把一个逻辑字段拆成多个头。
上线门槛
安全的灰度应要求：
- 所有预期可发送用例的长度与摘要一致；
- 超限用例明确返回
CURLE_TOO_LARGE； - 构造失败后没有部分请求到达目标；
- 目标字段不泄露到代理交换；
- 代理专用字段不转发到目标；
- 直连、HTTP 代理与 CONNECT 路线行为正确；
- 敏感字段不会跟随到未批准的跳转主机；
- 重试有界且不会静默直连；
- 有效结果率和尾延迟保持稳定。
先部署到少量工作节点，监控 curl 结果码、目标拒绝类型、签名失败、重试放大与每个有效结果成本。
升级检查清单
- [ ] 已盘点运行中的 curl 与 libcurl 版本；
- [ ] 已整理自定义字段及最大预期长度；
- [ ] 测试和日志不含真实字段值；
- [ ] 覆盖小型、边界、大型有效与超限用例；
- [ ] 测试目标验证长度与摘要；
- [ ] 已比较直连、HTTP 代理与 CONNECT；
- [ ] 明确测试跳转字段范围；
- [ ] 已验证签名请求规范化；
- [ ] 超限请求明确失败且不会发送；
- [ ] 确定性错误不会轮换出口或重试；
- [ ] 强制代理流程不会回退到直连；
- [ ] 已记录回滚方案和监控阈值。
常见问题
哪些版本需要检查？
curl 项目记录指出，该静默省略或误解析行为从 8.13.0 开始存在，并在 8.22.0 修复。务必核对每个应用实际加载的 libcurl。
curl 8.22 是否允许任意大小的字段？
不是。能放入请求缓冲区的字段可以发送，无法放入时返回 CURLE_TOO_LARGE；其他网络组件还可能设置更小限制。
状态码成功能否证明修复有效？
不能。测试目标必须验证收到的长度与摘要。缺少可选字段时，服务器仍可能返回 200。
CURLE_TOO_LARGE 应换代理重试吗？
不应。它描述本地请求构造问题，改变出口不会缩小字段，应作为有界配置错误处理。
相关 98IP 内容包括代理重试放大控制、HAR 凭证脱敏和代理连接池设计。
来源说明：curl 项目《Changes in 8.22.0》，2026 年 9 月 2 日发布；curl 项目记录《http: stop dropping large custom headers》。外部资料地址仅保存在内部运营记录。
仅在自行控制或明确获授权的测试系统和目标上执行验证。遵守端点条款、字段尺寸政策、频率限制、隐私义务与适用法律。请求头尺寸测试不得包含真实凭证或个人数据。
