如何测试代理请求头大小上限，避免大 Cookie 引发生产故障
代理任务可能连续数周正常运行，却在 Cookie 逐渐增大、追踪字段多了一跳，或认证方案换成更长令牌后突然失败。表面现象可能是 400、431、502、连接关闭、空响应或浏览器错误。轮换出口 IP 通常无法解决根因：路径中的某一层拒绝了请求头或响应头。
本指南面向已获授权的 HTTP、HTTPS CONNECT、SOCKS 和浏览器自动化任务。目标是找出最小失败边界、确认由哪一层执行限制，并把结果转化为安全的请求头预算。
列出所有限制执行点
一次 HTTP 交换可能跨越多个独立上限：
- 构造请求的应用或浏览器；
- HTTP 客户端库与协议实现；
- 正向代理或住宅代理网关；
- CONNECT 终结点或 HTTPS 代理前端；
- 负载均衡器、服务网格或 CDN；
- 目标 Web 服务器与应用框架；
- 返回路径上的响应解析器。
状态码不一定能指出拒绝层。有些组件返回 431 Request Header Fields Too Large，有些使用 400、413、502，也可能重置连接或替换为网关错误页。因此必须使用受控目标并同时收集两端证据。
分开定义三个上限
不要只测一个总数，应分别测量：
- 请求头总字节数；
- 最大单个请求字段；
- 响应头总字节数与最大响应字段。
还要记录字段数量，因为组件可能单独限制字段数。HTTP/2 与 HTTP/3 会在链路上压缩头部，但实现仍会限制解码后的字段列表和单字段大小。不能把压缩后的传输大小当作逻辑上限。
建立安全测试夹具
使用自有或受控域名与端点。夹具应：
- 只回显获批合成字段的名称与字节长度；
- 返回确定性的正文标记；
- 能生成可配置数量和大小的合成响应字段；
- 记录请求是否到达应用；
- 不记录字段值；
- 设置保守的最大值，避免内存压力。
扩展字段只能使用无意义测试字符。绝不能扩大真实 Cookie、Bearer 令牌、代理凭据、个人标识或客户数据。每个案例使用一个短合成 ID，并将它放在非扩展字段中。
先建立小型基线
分别通过直连控制组和每条批准代理路由发送一个小请求，验证目标标记、路由身份和状态。直连仅用于诊断；代理应用必须关闭直连回退。
记录：
case_id
route_class
protocol
address_family
request_field_count
request_header_bytes
largest_request_field_bytes
response_field_count
response_header_bytes
largest_response_field_bytes
status_or_error_class
destination_saw_request
response_marker_ok
retry_count
duration_ms整个实验使用同一套计数规则，并明确是否包含字段名、分隔符、换行和协议帧。
每次只增加一个维度
从明显低于预期上限的位置开始，只增加单字段长度、字段总数或响应头大小中的一个。先用较大步长找到首次失败，再在最后成功与首次失败之间进行二分测试。
例如：2 KiB 成功、4 KiB 成功、8 KiB 失败，再测试 6 KiB，直到边界足以支持运维决策。必要时重建连接，避免一次失败污染后续案例。最终边界应重复多次；若结果浮动，可能是不同代理节点或上游组件配置不一致。
按风险类型测试请求字段
使用互相独立的合成案例：
- 单个类 Cookie 字段逐步增大；
- 大量小型类 Cookie 键值对；
- 使用假值的大型类授权字段；
- 包含许多条目的分布式追踪 baggage；
- 多个转发字段和客户端提示字段；
- 合法但较大的自定义元数据字段。
不要把逐跳字段当作普通端到端元数据。代理添加、删除或规范化字段的行为应通过独立的代理请求头完整性指南验证。
独立测试响应路径
保持请求很小，让受控目标逐步增加合成响应字段。确认客户端收到完整正文标记，并核对目标是否正常完成。
需要区分：网关拒绝上游响应并返回自有错误、客户端解析器在转发后拒绝响应、字段被截断或静默删除、正文前连接关闭，以及正文存在但必需元数据缺失。
即使状态为 200，只要必需响应字段或正文标记不完整，都不能计为有效结果。可使用代理响应完整性测试避免把网关错误页写入业务数据。
比较不同 HTTP 版本和代理模式
在实际技术栈支持时，通过 HTTP/1.1、HTTP/2 和 HTTP/3 执行相同逻辑案例，并分别覆盖普通 HTTP 代理、HTTPS CONNECT、HTTPS 代理传输及所需 SOCKS 模式。
不要假设 HTTP/2 压缩会允许更大的 Cookie。客户端库和服务器通常仍对解码后的字段列表执行限制。记录协商协议及连接是否复用。
IPv4 与 IPv6 也应独立测试。地址族不应改变头部语义，但不同监听器或区域网关可能采用不同配置。
归因拒绝层
| 证据 | 可能解释 |
|---|---|
| 目标没有案例 ID，代理记录拒绝 | 代理侧请求上限 |
| 目标没有案例 ID，代理也无请求记录 | 客户端或更早的中间层 |
| 目标已处理，客户端收到网关错误 | 返回路径拒绝响应 |
| 直连在相同边界失败 | 更可能是目标或客户端限制 |
| 只有一个代理地区失败 | 区域网关配置不一致 |
| 新连接通过、复用连接失败 | 连接状态或协议实现问题 |
若无法访问日志，可组合“直连/代理、小/大、请求/响应”三组对照，通常无需收集载荷就能缩小范围。
防止重试放大
在配置或请求内容未变化时，超大请求头属于确定性失败。用相同请求轮换出口只会浪费带宽，也可能表现为滥用。对 400、431、解析器上限错误及可复现的重置，在一次受控确认后应分类为不可重试。
不得通过轮换出口绕过目标的头部策略。应缩小请求、清理不必要状态或调整已批准的配置。对于有副作用的请求，断连结果不明确时不得自动重放。
建立运维预算
不要贴着测得的最大值运行。以所有必需路由、地区、地址族和协议中最小的稳定上限为基准，留出代理新增元数据和未来应用变化所需余量。
生产环境只记录安全指标：按区间统计的请求/响应头字节、最大字段大小但不记录值、字段数量、400/431/502 与解析失败率、对应重试次数，以及按客户端版本、代理地区和协商协议划分的边界。
在触达硬上限前告警。持续增长的 Cookie 或追踪字段，应在造成区域故障前修正。
验收检查清单
- 受控端点与代理路由均已授权。
- 测试值不包含凭据、Cookie 或个人数据。
- 请求总量、最大字段和字段数分别测量。
- 响应头上限单独测试。
- 直连回退已关闭。
- HTTP 版本和代理模式清楚标记。
- IPv4、IPv6 和所需市场均已覆盖。
- 最后成功与首次失败均重复验证。
- 拒绝层有证据支持。
- 超大失败不会触发出口轮换。
- 生产预算包含书面余量。
- 日志只保存大小与案例 ID，不保存字段内容。
常见问题
431 一定由代理返回吗？
不一定。客户端、代理、中间层或目标都可能执行限制，而且有些会使用其他状态或直接关闭连接。必须关联目标端和代理端证据。
HTTP/2 压缩能解决大请求头吗？
不能。压缩减少链路表示，但实现仍限制解码字段列表和单字段；大 Cookie 还会消耗压缩状态与处理资源。
是否应该全面提高上限？
不应自动提高。更高上限会增加内存与滥用风险。先移除不必要状态，再在容量与安全审查后做最小范围调整。
更换代理出口能修复错误吗？
可能暂时落到配置不同的节点，但这只是掩盖不一致。浮动边界应作为提供商或代理集群配置问题处理。
应该预留多少余量？
应低于最小可重复边界，并为代理新增字段预留空间。认证、追踪、Cookie 或网关配置变化时重新评估。
合规说明
只测试自有或已获授权的系统、代理账户与目标。使用合成字段、保守并发和严格最大值。不得用超大请求对第三方基础设施施压、绕过访问控制或规避发布者限制。
