Nginx容灾需组合配置proxy_next_upstream、健康检查与upstream策略：精准触发（仅重试error/timeout/5xx/invalid_header）、有效限制（tries=3且timeout=10s）、主动规避（max_fails=3/fail_timeout=30s）。
要让 Nginx 在后端节点故障时自动重试并真正实现容灾，不能只写一行 proxy_next_upstream，而需组合配置错误类型、重试边界、健康检查和 upstream 策略。核心是“精准触发 + 有效限制 + 主动规避”三层协同。
明确哪些错误才值得重试
默认只对 error 和 timeout 重试，生产环境必须显式补充常见服务端错误：
-
error：连接被拒、TCP reset、DNS 失败等网络层异常 -
timeout：需配合proxy_connect_timeout、proxy_read_timeout才生效 -
http_500、http_502、http_503、http_504：网关类错误，可安全重试 -
invalid_header：后端返回空响应或非法头（如缺失 Status 行），说明服务已假死
不要加 http_404 或 http_403 —— 这些是业务确定性结果，重试不会改变结果，反而增加无效负载。
严格限制重试次数与总耗时
无约束的重试会放大延迟甚至引发雪崩。两个参数必须成对设置：
-
proxy_next_upstream_tries 3：最多尝试 3 次（含首次），即最多换 2 个节点。设为 3 是兼顾容错与可控性的常见选择 -
proxy_next_upstream_timeout 10s：从第一次请求发起开始计时，超时即终止并返回错误。该值应略大于单次合理耗时 × 期望重试次数（例如proxy_read_timeout 5s时，设为 10s 合理）
不设 tries 或设为 0 是危险的；timeout 过大（如 30s）会让用户长时间等待，过小（如 2s）又可能跳过本可成功的慢节点。
upstream 必须启用被动健康检查
proxy_next_upstream 是“失败后兜底”，不是“提前绕开”。若不配合健康检查，Nginx 仍会把新请求轮询到已宕机但尚未被标记的节点，导致每次请求都先失败再重试，白白浪费资源。
- 在
upstream块中为每个节点配置max_fails=3 fail_timeout=30s - 这样连续 3 次失败（由
proxy_next_upstream触发的失败也会计入）后，该节点会在 30 秒内被自动剔除，不再参与调度 - 可选添加
backup节点，仅当所有主节点不可用时才启用，作为最后一道防线
区分请求方法，避免非幂等操作重复执行
GET/HEAD 请求天然可重试；但 POST、PUT、DELETE 等方法默认不会被重试——这是 Nginx 的安全机制。
- 除非你确认后端完全幂等（如订单服务做了基于请求 ID 的去重），否则不要强行开启非 GET 请求的重试
- 若真需开启，需额外配置
proxy_buffering off和proxy_request_buffering off（Nginx ≥ 1.7.11），但风险极高，不推荐
对支付、下单、扣款等关键路径，建议直接关闭重试：proxy_next_upstream off，靠上游自身熔断或前端降级更稳妥。
