Go net/textproto 如何控制头部大小

我第一次用 net/textproto 读自定义协议头部时，直觉是去找一个“最大头部长度”参数。结果找不到并不奇怪：ReadMIMEHeader 负责把 Key: Value 文本解析成 MIMEHeader，并没有公开的大小配置。真正的控制点是它下面的输入流；如果场景是 HTTP 服务端，则应该把限制交给 http.Server。

先分清 textproto 和 HTTP 的责任边界

net/textproto 是通用文本协议工具包，能处理 HTTP 风格的头部，却不知道你的连接后面还有什么协议。它的 Reader.NewReader 文档还特别提醒：为了避免无界响应，应让底层 reader 使用 io.LimitReader 或类似方案。因此，直接使用时不要期待 ReadMIMEHeader 替你做资源治理。

直接用 textproto 时，先把字节预算放在 reader 外层

自定义文本协议可以把连接包进一个有限 reader，再交给 bufio.NewReader。下面的示例把 8 KiB 当作本次头部预算；如果预算耗尽前没有读到结束空行，就把它归类为超限，而不是继续等待更多数据。

package main

import (
	"bufio"
	"errors"
	"fmt"
	"io"
	"net/textproto"
	"strings"
)

// budgetReader 记录剩余字节；读尽预算后返回 EOF，避免输入无限增长。
type budgetReader struct {
	r     io.Reader
	left  int64
	hitLimit bool
}

func (r *budgetReader) Read(p []byte) (int, error) {
	// 只把剩余预算交给底层 reader，避免一次读穿上限。
	if r.left  r.left {
		p = p[:r.left]
	}
	n, err := r.r.Read(p)
	r.left -= int64(n)
	if r.left == 0 && err == nil {
		r.hitLimit = true
	}
	return n, err
}

func readHeader(raw string) (textproto.MIMEHeader, error) {
	// 头部预算只覆盖这段文本，不把后续正文交给同一个解析器。
	limited := &budgetReader{r: strings.NewReader(raw), left: 8 

这里的重点不是自定义类型本身，而是层次：限制放在 bufio.Reader 下面，才能约束它从连接读取的总量。生产代码还要明确“头部结束空行”是否属于预算，并为连接设置读取超时。若协议还带正文，应在头部成功后交给独立的 body reader 和 body limit。

HTTP 服务端优先配置 MaxHeaderBytes

如果入口本来就是 HTTP，不建议在 Handler 里再用 textproto 重解析请求头。http.Server.MaxHeaderBytes 控制服务端解析请求头时读取的最大字节数，包含请求行；设为零时使用默认值 1 MiB。它在 Handler 之前生效，和请求体限制是两条线。

srv := &http.Server{
	Addr: ":8080",
	// 头部预算包含 request line 与 header，不包含 request body。
	MaxHeaderBytes: 1 

这段配置需要补齐 log、net/http 和 time 导入后再运行。要注意它表达的是服务端策略，不是说客户端发送端也会自动遵守。反过来，客户端收到超大响应头时，textproto 的底层 reader 也应由调用方设置合理预算。

用四个检查点反向验证限制没有放错

我通常按下面的清单复查，而不是看到一个“超大请求”就盲目调小参数：

• 输入在预算内且以空行结束：应成功得到 MIMEHeader，合法折行也应被合并。
• 输入没有结束空行并读尽预算：应停止读取，并记录为预算耗尽。
• 请求体变大但头部正常：MaxHeaderBytes 不会替你拦截，另用 body limit。
• 同一字段拆成多行：同时关注总字节和 MaxHeaderValueCount，二者含义不同。

参数取值要从真实头部样本反推：认证头、Cookie、追踪字段和代理附加字段都算在请求头里。先测峰值，再留出余量；把失败原因、远端地址和预算结果记入结构化日志，方便确认是格式错误、超时还是超限。

相关问题

ReadMIMEHeader 能不能直接传最大长度？

不能。公开方法没有这个参数；直接使用时限制它的底层 io.Reader，HTTP 服务端则使用 Server.MaxHeaderBytes。

MaxHeaderBytes 会限制 POST 文件大小吗？

不会。它只覆盖请求行和请求头。文件或其他请求体要通过请求体读取层单独限制。

为什么还要设置 ReadHeaderTimeout？

字节上限防止头部过大，超时防止客户端用很慢的速度持续占用连接；它们针对的是不同资源。