在http2中,如果客户端忽略服务器的设置框,服务器应该怎么做?

客户 must 迅速应用设置并发送回设置确认,这不是可选的。来自客户端的任何其他行为都是不兼容的,在这些情况下,服务器可以关闭连接。对于客户端在没有确认设置的情况下停留太久的特定情况,服务器可以使用GoAway帧关闭连接,原因是SETTINGS_TIMEOUT。

另一件事是,对于HTTP/2连接,HPACK动态表是“全局”的。因此,攻击者真正滥用默认大小的唯一方法是打开许多不同的连接,而不是在同一连接上发出许多请求。在我看来,您总是希望限制来自单个IP地址的连接数,否则攻击者甚至不需要僵尸网络来对您的服务器执行DDOS攻击。

将动态表的大小减小到4096字节以下可能会增加标头流量,并且可能会对性能产生负面影响。