Ôi, rất nhiều câu trả lời, rất nhiều điểm tốt, vì vậy hãy trải ra, vì vậy hãy để tôi cố gắng củng cố tất cả điều này. tl; dr imo, mức độ quá thấp này là mối quan ngại đối với mã lớp ứng dụng.
Có, URL có thể là bất kỳ chiều dài nào nhưng trên thực tế, trình duyệt có giới hạn. Tất nhiên, điều đó chỉ bảo vệ bạn khỏi các cuộc tấn công dựa trên trình duyệt bởi những người sẵn sàng giới hạn bản thân họ với những vectơ đó, vì vậy bạn cần một số cách để xử lý các nỗ lực tấn công đang hoạt động.
Ok, nó có thể bảo vệ chống lại tràn bộ đệm. Vâng, chỉ khi bạn đang làm việc ở mức độ thấp và không suy nghĩ về những mối quan tâm như vậy. Hầu hết các ngôn ngữ những ngày này hỗ trợ các chuỗi khá tốt và sẽ không cho phép chúng tràn.Nếu bạn đang xử lý một số hệ thống mức rất thấp, thực sự đọc dữ liệu dưới dạng byte và đặt nó thành kiểu 'chuỗi', thì chắc chắn, bạn nên có cách phát hiện và xử lý điều này, nhưng không khó để cấp phát bộ nhớ, và chuyển số tiền đã biết tại một thời điểm, chỉ cần theo dõi lượng bộ nhớ bạn đã dành. Thành thật mà nói nếu bạn đang đối phó với mức thấp đó, bạn thực sự nên sử dụng cái gì khác.
Ok, điều gì về việc từ chối dựa trên độ dài chuỗi? Sự rút lại chính cho điều này là tiềm năng cho một cảm giác an toàn sai lầm. Đó là để nói, một số khu vực của mã có thể nhận được 'cẩu thả' và dễ bị tổn thương đến những khai thác rất bạn đang cố gắng để tránh. Bạn rõ ràng phải cẩn thận để đảm bảo giới hạn 'toàn cầu' này thực sự là đủ, nhưng xem xét định dạng URI của bạn, bạn có thể có báo cáo 'phần' đó về độ dài tối đa của chúng và kiểm tra độ dài trung tâm (cho cả hai toàn bộ chuỗi, và các thành phần của nó); ít nhất theo cách này, nếu một phần cần cho phép chuỗi dài hơn, thì việc xử lý thay đổi sẽ dễ dàng hơn.
Điều này tất nhiên có một số lợi thế, vì một, rất nhanh để có thể so sánh độ dài của chuỗi và từ chối yêu cầu ngay lập tức ... nhưng đừng quên là 'cư xử tốt 'trang web bạn nên gửi lại một phản ứng thích hợp giải thích lý do tại sao máy chủ đang từ chối điều này. Tuy nhiên, trong thực tế, bạn có thực sự nghĩ rằng bạn sẽ phải xử lý nhiều loại URL 'sai' này, chắc chắn chúng sẽ sai theo nhiều cách khác nhau.
Vì lý do nào đó, bạn cảm thấy không muốn nói ngôn ngữ mình đang sử dụng. Các ngôn ngữ cấp cao như Java hay Python có một số thư viện rất tốt để xử lý 'công cụ web'. Java sẽ cho phép bạn chỉ định các mẫu cho URI, bao gồm việc sử dụng regex cho mẫu đó, vì vậy nếu bạn muốn có tên trong URL, bạn có thể có một cái gì đó như @Path("/person/(.{0..100}") để giới hạn tham số thành 100 ký tự. Tôi sẽ ngạc nhiên nếu như Ruby hoặc Python không có tương đương, họ muốn quảng bá bản thân như những ngôn ngữ 'webby' tốt đẹp.
Cuối cùng, bất kể độ dài, có nhiều những thứ bạn sẽ cần phải xác thực, không chỉ chiều dài. Phải lo lắng về độ dài của URI gây tràn bộ đệm là một điều rất thấp, và sẽ cần phải rất chung chung, tức là cần phải xử lý bất kỳ yêu cầu nào, ngay cả một yêu cầu có URI 1 GB; lưu ý tôi nói 'xử lý' không 'chấp nhận nó một vượt qua nó lên đến lớp ứng dụng', nó có thể từ chối nó ở mức độ thấp, cũng kích hoạt sự kiện hệ thống có thể.
Kỹ thuật tương tự được sử dụng bởi Tường lửa ứng dụng web nếu bạn quan tâm đến nghiên cứu thêm. –