该攻击串联利用 HPACK 压缩放大请求头，以及借 HTTP/2 流控停滞保留服务器资源两类已知方法，在 100 Mbps 连接下，
攻击的第一步是滥用 HPACK 动态表。攻击者先插入一个请求头，再用紧凑索引反复引用它。一个字节的输入可能触发服务器分配数千字节内存，Envoy 与 Apache httpd 的放大比例分别达到 5700:1 和 4000:1。
第二步则让请求无法完整结束。攻击者
IIS、Envoy 和 Pingora 暂无补丁，建议在可行时关闭 HTTP/2，并在前端部署代理或防火墙，强制限制请求头数量。
