Nginx仅支持HTTP/3终结而非代理，因其upstream模块基于TCP设计，缺乏UDP socket管理、QUIC流复用、ALPN透传等能力，且官方无proxy_pass http3://方案；启用需Nginx≥1.25.0、内核≥5.4、BoringSSL、TLSv1.3强制、listen 443 quic reuseport及Alt-Svc头严格配置。
目前 Nginx 支持 HTTP/3，但仅限于“终结”（terminating）客户端 QUIC 连接，不能将 HTTP/3 请求原样转发给后端服务。这意味着 HTTP/3 只存在于客户端到 Nginx 这一跳，后端通信仍必须走 HTTP/1.1 或 HTTP/2。这不是配置疏漏，而是协议与模块架构决定的硬性边界。
HTTP/3 在 Nginx 中为何只能终结、不能代理？
Nginx 的 upstream 模块基于 TCP 连接池和 HTTP/1.x/2 帧解析设计，没有实现以下 QUIC 必需能力：
- UDP socket 生命周期管理（QUIC 运行在 UDP 上，而 upstream 不处理 UDP）
- QUIC 流（stream）复用、连接迁移、丢包重传等语义
- ALPN 协商透传（如 h3-29、h3-Q050 等版本标识）
- 官方主线中不存在
proxy_pass http3://协议方案；即使使用proxy_pass https://，实际发出的仍是 TLS over TCP 请求
Nginx 启用 HTTP/3 终结的刚性前提
缺一不可，否则 QUIC 连接无法建立或极不稳定：
- Nginx ≥ 1.25.0 主线版，且编译时启用
--with-http_v3_module和--with-stream_quic_module（运行nginx -V | grep -E 'http_v3|stream_quic'验证） - Linux 内核 ≥ 5.4（推荐 ≥ 5.7），保障 UDP 性能与
reuseport行为稳定 - 防火墙放行 UDP/443（最常被忽略，导致 QUIC 完全不可用）
- SSL 库选用 BoringSSL 或 quictls；OpenSSL 3.2+ 可用但功能受限
- TLS 强制为
TLSv1.3，并禁用降级：ssl_conf_command Options -no_middlebox_degradation
关键配置写法与常见误区
正确配置不是加个开关，而是满足浏览器发现与连接建立的完整链路：
- 监听指令必须成对出现：
listen 443 ssl http2;（保底兼容） +listen 443 quic reuseport;（启用 QUIC） - 不存在
http3 on;指令——这是文档误读，Nginx 官方语法中无此配置项 -
add_header Alt-Svc 'h3=":443"; ma=86400';是必需响应头，格式、引号、空格必须严格匹配；浏览器仅靠它决定是否发起 HTTP/3 - 证书路径对 TCP 和 UDP 共用同一套，无需额外配置
-
reuseport不可省略：它让多个 worker 共享 UDP 端口，避免因负载不均导致丢包和连接中断
更可行的生产部署路径
把协议终结与流量调度解耦，比强求 Nginx 全链路支持 HTTP/3 更稳健：
-
Caddy 2.7+：开箱支持 HTTP/3 终结、自动证书、健康检查；用
reverse_proxy将解包后的请求以 HTTP/1.1 或 HTTP/2 转发至 Nginx 集群 -
Envoy：v1.26+ 支持
quic_transport_socket监听 UDP 443，后端 cluster 指向 Nginx 实例，可观测性与熔断策略远超 upstream - 双监听 + L4 分流：Nginx 自身终结 QUIC，客户端直连节点；由 DNS 轮询或 HAProxy（TCP mode）、MetalLB 等 L4 设备分发 UDP 流量
