The Cloudflare Blog
·
Go与保持冷静：解决HTTP/2互操作性问题
内容提要
2025年9月，内部工程团队讨论了HTTP/2客户端发送错误代码ENHANCE_YOUR_CALM的问题。文章分析了HTTP/2的攻击及防御，特别是PING洪水攻击。通过日志分析，发现客户端在未读取响应体时频繁发送RST_STREAM和PING帧，导致连接关闭。建议在Go中始终读取HTTP/2响应体，以避免不必要的帧发送。
关键要点
-
2025年9月，内部工程团队讨论HTTP/2客户端发送错误代码ENHANCE_YOUR_CALM的问题。
-
文章分析了HTTP/2的攻击及防御，特别是PING洪水攻击。
-
HTTP/2定义了用于编码HTTP语义的二进制传输格式，包含多种帧类型。
-
HTTP/2的强大功能可能被误用，实施者应监控这些功能的使用以防止拒绝服务攻击。
-
Cloudflare实施了多种HTTP/2防御措施，以保护系统和客户。
-
CVE-2019-9512是一个常见的攻击，攻击者通过持续发送PING帧导致对端消耗过多资源。
-
内部微服务之间的通信通过Cloudflare边缘进行，提供了多种优势。
-
通过日志分析，发现客户端在未读取响应体时频繁发送RST_STREAM和PING帧。
-
建议在Go中始终读取HTTP/2响应体，以避免不必要的帧发送。
-
在处理HTTP/2时，确保响应体始终被读取可能会有些不直观，需注意实现细节。
-
如果遇到ENHANCE_YOUR_CALM错误，建议使用数据包捕获和详细日志记录来确认问题。
延伸解读
HTTP/2的强大与风险
HTTP/2协议提供了多种强大的功能，但这些功能的误用可能导致拒绝服务攻击。实施者应监控这些功能的使用，确保不会因滥用而影响系统的稳定性。了解这些风险有助于开发者在设计系统时采取适当的防护措施。
Go语言中的响应体处理
在Go语言中，确保始终读取HTTP/2的响应体可能并不直观。未读取响应体可能导致不必要的RST_STREAM和PING帧发送，从而引发连接关闭。开发者应注意实现细节，避免因小失大。
调试ENHANCE_YOUR_CALM错误
遇到ENHANCE_YOUR_CALM错误时，建议使用数据包捕获和详细日志记录来确认问题。通过分析频繁的帧发送模式，可以识别出潜在的误用情况，从而调整客户端配置，避免被误判为攻击者。
延伸问答
HTTP/2中的ENHANCE_YOUR_CALM错误是什么？
ENHANCE_YOUR_CALM错误是HTTP/2协议中用于关闭连接的错误代码，通常表示客户端行为被认为是恶意的。
如何避免在Go中发送不必要的RST_STREAM和PING帧？
在Go中，建议始终读取HTTP/2响应体，即使响应体为空，以避免发送不必要的RST_STREAM和PING帧。
CVE-2019-9512攻击是什么？
CVE-2019-9512攻击，也称为PING洪水攻击，攻击者通过持续发送PING帧导致对端消耗过多资源。
Cloudflare是如何防御HTTP/2攻击的？
Cloudflare实施了多种HTTP/2防御措施，包括在检测到恶意客户端行为时关闭连接并返回ENHANCE_YOUR_CALM错误代码。
在处理HTTP/2时，为什么需要监控功能的使用？
监控功能的使用可以防止拒绝服务攻击，确保实现不会被误用，从而保护系统的稳定性。
如何确认HTTP/2客户端的连接关闭问题？
可以通过数据包捕获和详细日志记录来确认问题，寻找频繁或重复的帧模式，以识别是否类似于恶意流量。
