Nginx将错误视为可监听的常规事件而非异常：客户端断连、超时、上游失败等均被抽象为epoll/kqueue就绪事件，由状态机驱动即时响应、隔离处理与统一恢复，不阻塞其他连接。
Nginx 在异步事件驱动模型下不把“错误”当作中断流程的异常，而是作为可监听、可响应的常规事件来统一处理。它不依赖 try-catch 或线程级错误隔离，而是靠事件循环内建的健壮状态机和分层容错机制，在不阻塞其他连接的前提下完成错误识别、记录与恢复。
错误被纳入事件系统统一调度
Nginx 将网络层、协议层、超时、客户端断连等各类异常都抽象为“就绪事件”，由 epoll/kqueue 通知 worker 进程。比如：
- 客户端提前关闭连接 → 内核触发 EPOLLIN + read() 返回 0 或 -1（ECONNRESET），worker 立即标记连接为“关闭中”，清理资源并释放连接槽位；
- 请求头超时 → 红黑树定时器到期，事件循环主动触发超时回调，直接关闭 socket 并返回 408；
- 上游无响应 → proxy_timeout 触发后，Nginx 不等待后端，直接向客户端返回 504，并中断与 upstream 的 pending 请求。
非阻塞 I/O 下的错误即时响应
每个 socket 全程保持 non-blocking 模式，因此错误不会卡住事件循环：
- recv() 失败（如 EAGAIN/EWOULDBLOCK）不是错误，只是“暂无数据”，worker 继续处理其他就绪连接；
- send() 写不完数据时，Nginx 把剩余内容暂存到连接的 output buffer，并注册 write event，等 socket 可写再继续 —— 即使某次发送失败（如 EPIPE），也只影响当前连接，不影响其他；
- 解析 HTTP 头失败（如 malformed request）会立即返回 400，且不分配 request 结构体，避免内存泄漏。
配置驱动的错误防护边界
通过关键指令预先划定容错范围，防止错误扩散：
- client_header_timeout / client_body_timeout：限制客户端发送头部或正文的耗时，超时即断连，防慢速攻击；
- proxy_next_upstream error timeout http_500 http_502 http_503 http_504：定义哪些 upstream 错误可触发重试，避免单点故障放大；
- keepalive_requests 1000;：限制单个 keepalive 连接处理请求数，防止长连接累积状态错误；
- error_page 400 408 500 502 503 504 /error.html;：统一拦截并返回定制错误页，不暴露后端细节。
日志与监控支撑快速定位
错误不中断服务，但会精准落日志：
- 默认 error_log level 记录 warn 及以上错误（如 connection reset by peer、no live upstreams）；
- 启用 log_format 包含 $status、$request_time、$upstream_status 等字段，便于区分是客户端问题、网络问题还是后端问题；
- 配合 stub_status 或 Prometheus exporter，实时观察 active connections、handled、reading/writing/waiting 数值突变，辅助判断错误类型。
