proxy_pass 本身不实现负载均衡，真正起作用的是 upstream 块；upstream 必须在 http 块内定义，proxy_pass 需指向其名称（如 http://api_cluster/），并配置 proxy_set_header 透传关键请求头，最后通过 nginx -t 和 reload 生效。
proxy_pass 本身不实现负载均衡，它只是转发指令；真正起作用的是 upstream 块。要让 proxy_pass 适配后端负载均衡集群，关键在于它必须指向一个已定义的 upstream 名称，而不是直接写后端地址。
upstream 必须在 http 块内定义
upstream 只能在 http { … } 范围中声明，不能放在 server 或 location 里。名称可自定义（比如 api_cluster），但后续所有引用都必须拼写完全一致：
- 每行一个 server，格式为 server IP:端口; 或 server 域名:端口;
- 不加额外参数时，默认就是轮询策略，请求依次分发到各节点
- 如需加权，可写成 server 192.168.1.10:8080 weight=3;
- 如需备用节点，可加 backup 标记
proxy_pass 必须引用 upstream 名称
location 中的 proxy_pass 后面要写成 http://upstream_name/ 的形式（注意协议 + 斜杠 + 名称），不能写成具体 IP 或域名：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 写成 proxy_pass http://192.168.1.10:8080; 就绕过了负载均衡，只走单点
- 末尾斜杠影响路径处理：proxy_pass http://backend/ 会剥离 location 匹配前缀；proxy_pass http://backend; 则原样拼接
- 名称大小写敏感，且不能带端口或路径，例如 http://backend:8080 是无效的
必须透传关键请求头
否则后端无法获取真实客户端信息，常见配置如下：
- proxy_set_header Host $host; —— 保留原始 Host，避免跳转错误
- proxy_set_header X-Real-IP $remote_addr; —— 传递真实用户 IP
- proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; —— 支持多层代理下的 IP 追溯
- 如需协议信息，可加 proxy_set_header X-Forwarded-Proto $scheme;
别忘了验证和重载配置
改完配置不是立刻生效，必须走标准流程：
- 运行 sudo nginx -t 检查语法，出错会提示具体行号
- 确认无误后执行 sudo systemctl reload nginx（或 sudo nginx -s reload）
- 可通过访问服务并查看各后端日志，确认请求是否在多个节点间交替出现
