Nginx反向代理容错需四指令协同：proxy_next_upstream定义重试条件（如http_502），proxy_next_upstream_tries/timeout限重试次数与总时长，proxy_intercept_errors on开启错误拦截，配合error_page与internal location实现闭环兜底。
当 Nginx 的 server 块中配置了反向代理（proxy_pass），后端服务失败时，Nginx 不会直接返回错误，而是按一套分层逻辑决定是否重试、切换节点、拦截响应或兜底返回。这套逻辑不是自动生效的，必须通过显式指令组合触发。
关键容错指令必须协同生效
Nginx 的容错不是单个开关，而是多个参数共同作用的结果：
-
proxy_next_upstream：定义哪些失败场景会触发“换一台后端重试”。默认只认error和timeout，502/503/504 等 HTTP 错误需手动加上，例如：proxy_next_upstream error timeout http_502 http_503 http_504 invalid_header; -
proxy_next_upstream_tries：限制最多尝试几个 upstream 节点（含首次），建议设为后端数量或略小，避免无效轮询。 -
proxy_next_upstream_timeout：从第一次请求发出起计时的总耗时上限，必须 ≥ 单次proxy_read_timeout，否则重试来不及发起。 -
proxy_intercept_errors on：开启后，Nginx 才会拦截 4xx/5xx 响应并执行error_page，否则直接透传给用户。
上游节点状态由 max_fails/fail_timeout 动态管理
upstream 中每个 server 的健康状态是被动学习的，依赖真实请求反馈：
- 每次触发
proxy_next_upstream的失败类型（如http_502、timeout、error）都会计入该节点的失败计数。 - 若在
fail_timeout秒内失败次数 ≥max_fails，该节点被标记为“不可用”，接下来fail_timeout秒内不参与任何新请求分发。 -
fail_timeout过后自动恢复探测；若所有节点都不可用，Nginx 会强制重试全部节点，防止彻底雪崩。
错误页面替换需闭环配置，防套娃
仅写 error_page 502 /502.html 不够，必须补全三步：
- 在
location块中开启proxy_intercept_errors on; - 用
error_page 502 /502.html;指定跳转 URI（注意是路径，不是文件路径） - 单独声明
location = /502.html { internal; root /usr/share/nginx/html; }，加internal防止外部直接访问，也避免因未配location导致二次 404。
非幂等请求要特别处理
对 POST、PUT 等可能改变状态的请求，Nginx 层重试风险极高：
- 默认不重试非幂等请求；若强行开启
non_idempotent，极易造成重复下单、重复扣款。 - 推荐做法：为这类接口单独配
location，关闭重试：proxy_next_upstream off;或仅保留error timeout，不加任何http_*。 - 真正的幂等保障应在业务层实现（如唯一请求 ID + 幂等表），Nginx 只做连接层容错。
