Nginx负载均衡通过分层机制处理后端错误：先用proxy_next_upstream重试，再以max_fails/fail_timeout熔断故障节点，最后用proxy_intercept_errors+error_page统一降级。
Nginx 负载均衡层对后端返回错误的处理，不是简单拦截或掩盖，而是分层响应：先尝试换节点重试，再隔离故障节点，最后统一呈现降级内容。核心在于让错误不直接暴露给用户，同时避免把请求反复打向已异常的服务。
用 proxy_next_upstream 实现自动重试
当后端返回 502/503/504 等错误状态码，或连接失败、超时时，Nginx 可主动将请求转发给下一个 upstream 节点：
- 必须显式启用并指定触发条件：
proxy_next_upstream error timeout http_502 http_503 http_504; -
error包含建连失败、发请求失败、收响应头失败；timeout涵盖连接与代理读写超时 - 非幂等请求（如 POST、PUT）默认不重试，若需支持，得加
http_502等并确保业务可重入 - 搭配
proxy_next_upstream_tries 3;（最多尝试 3 台）和proxy_next_upstream_timeout 5s;（总耗时上限），防雪崩
靠 max_fails + fail_timeout 做被动熔断
这不是“等出错再处理”，而是基于连续失败行为，提前将问题节点临时下线：
- 在 upstream server 行中配置：
server 10.0.1.10:8080 max_fails=2 fail_timeout=30s; - 只要该节点在 30 秒内失败 2 次（由 proxy_next_upstream 触发），就被标记为 down，30 秒内不再接收新请求
- fail_timeout 不是“恢复等待时间”，而是“down 状态持续时长”；到期后会自动重新试探
- 建议至少配置 2 个有效后端，否则重试与熔断都失去意义
用 proxy_intercept_errors + error_page 接管最终响应
只有当所有可用后端都重试失败、Nginx 自身生成 502/503/504 或后端返回对应状态码时，才触发统一兜底页：
- 在 location 块中开启：
proxy_intercept_errors on;（不能放在 http 或 server 级） - 声明捕获范围：
error_page 500 502 503 504 /maintenance.html; - 必须定义
location = /maintenance.html，并配好root或alias，且确保 MIME 类型正确（如types { text/html html; }） - 若想隐藏真实错误码，可写成：
error_page 503 =200 /maintenance.html;
配合健康检查与合理超时提升容错水位
重试和熔断是“事后响应”，而主动探测与通信调优是“事前预防”：
- 启用主动健康检查（需 nginx plus 或 openresty）：
health_check interval=3 fails=2 passes=2; - 调整超时参数更贴合后端能力：
proxy_connect_timeout 15s;、proxy_read_timeout 60s; - 复用连接减少开销：
upstream ... { keepalive 32; }，并在 location 中加proxy_http_version 1.1;和proxy_set_header Connection ''; - 验证是否生效：停掉全部后端，用 curl 测响应，看是否返回 maintenance.html 及对应状态码
