Nginx可通过组合配置实现生产级自动降级保护：①用max_fails+fail_timeout实现节点级熔断；②用limit_req+error_page实现接口级限流降级；③用proxy_cache_use_stale实现缓存兜底；④用map/Lua+Redis实现动态全局开关。
Nginx 本身不内置断路器，但通过组合配置可实现贴近生产可用的自动降级保护。核心是分层防御：节点级熔断、接口级限流拦截、缓存兜底、全局开关控制，全部在 Nginx 层完成，无需改动后端代码。
用 max_fails + fail_timeout 实现节点级自动熔断
这是最轻量、原生支持的自动隔离方式，适用于快速剔除已确认故障的后端实例： - 在 upstream 中为每个 server 设置 `max_fails=3 fail_timeout=30s` - 配合 `proxy_next_upstream error timeout http_500 http_502 http_503 http_504`，让 Nginx 主动重试并触发失败计数 - 一旦某节点在 30 秒内连续失败 3 次，即被标记为 down，30 秒内不再接收请求 - 可搭配 `backup` 节点，主集群全挂时自动切至灾备服务用 limit_req + error_page 实现接口级自动降级
对高危路径（如 `/api/v1/payment`）单独设防，避免单点故障扩散： - 定义限流区域：`limit_req_zone $uri zone=pay_limit:10m rate=5r/s` - 在对应 location 中启用：`limit_req zone=pay_limit burst=10 nodelay` - 开启错误拦截：`proxy_intercept_errors on` - 绑定降级响应：`error_page 500 502 503 504 = @pay_fallback` - 用 `location @pay_fallback { internal; return 200 '{"code":503,"msg":"支付服务暂不可用"}'; }` 直接返回 JSON，毫秒级生效用 proxy_cache_use_stale 实现缓存自动兜底
当后端全部不可用时，仍能返回“过期但可用”的内容，保障基本可用性： - 启用 stale 策略：`proxy_cache_use_stale error timeout http_500 http_502 http_503 http_504 updating` - 对关键接口缓存降级响应：`proxy_cache_valid 503 10s` - 加上 `proxy_cache_lock on`，防止缓存失效时大量请求同时回源 - 这样即使上游全部超时或返回 503，Nginx 仍可返回最近一次有效缓存，用户感知为“稍慢但能用”用 map + Lua + Redis 实现动态全局降级开关
运维可通过一条命令秒级开启/关闭全站降级，适合大促压测或突发故障： - 在 http 块中定义开关变量：`map $http_x_downgrade $is_downgraded { default 0; "1" 1; }` - 或用 Lua 从 Redis 读取：`set_by_lua_block { local redis = require "resty.redis"; ... $is_downgraded = redis:get("global:degrade") == "1" }` - 在 server 块中统一拦截：`if ($is_downgraded) { return 200 '{"code":503,"msg":"系统维护中"}'; }` - 支持白名单放行：`if ($is_downgraded) { if ($request_uri !~ ^/(login|healthz|/static)) { return 200 '...'; } }`不复杂但容易忽略
