如何优化Nginx中http2_max_field_size指令以解决HTTP2超大Cookie解析问题？

本文共计787个文字，预计阅读时间需要4分钟。

直接结论：

为什么默认 4k 会出问题？

HTTP/2 压缩头部（HPACK）对单个字段长度有硬限制，默认 http2_max_field_size 4k。但现代前端框架 + SSO + 全链路追踪常导致单个 Cookie 轻松突破 8–16KB（尤其含未压缩 JWT payload）。此时 Nginx 在解帧阶段直接拒绝，不进日志、不转发、不报错——只断连。

• 现象：Chrome DevTools Network 标签页里请求状态为 (failed) 或 (canceled)，协议列为 h2，但看不到响应码
• 验证方式：用 curl -v --http2 https://your.site/ 观察是否卡在 CONNECT 阶段，或返回 HTTP/2 stream 1 was not closed cleanly
• 注意：client_header_buffer_size 和 large_client_header_buffers 对 HTTP/2 无效，它们只管 HTTP/1.x

怎么设才安全又不过度放水？

不能无脑调大。HPACK 解压本身有 CPU 开销，且过大的单字段可能掩盖真实攻击（如恶意构造的超长 X-Forwarded-For）。