Nginx后端故障自动切换需proxy_next_upstream协同upstream参数：仅对error/timeout及可重试HTTP错误（502/503/504）触发，设tries≤3、timeout=3–8s，配合max_fails/fail_timeout健康检查，并严格区分幂等性请求类型。
要让 Nginx 在后端节点故障时“自动换人”，关键不是打开 proxy_next_upstream 就完事，而是 upstream 模块里几个参数必须协同工作：重试时机得准、重试次数得控、健康状态得感知、请求类型得守牢。
只对真正可重试的错误触发切换
默认情况下，Nginx 只在连接失败（error）或超时（timeout）时才尝试下一个节点。502、503、504 这类网关错误不会自动重试，必须显式声明：
- 必加：error timeout —— 覆盖建连失败、响应卡死等底层异常
- 推荐加：http_502 http_503 http_504 —— 多为后端瞬时过载或进程崩溃，换节点成功率高
- 不加：http_404、http_403 —— 是确定性业务结果，重试浪费资源
- 慎加：http_500 —— 若非确认是偶发（如 GC 暂停），应先查日志，而非靠重试掩盖
用 tries 和 timeout 控制重试边界
这两个参数必须成对设置，否则容易拖慢请求或引发雪崩：
- proxy_next_upstream_tries 3：最多尝试 3 个不同节点（含首次），不是“额外重试 3 次”
- proxy_next_upstream_timeout 6s：从第一次请求发出开始计时，6 秒内无论试了几个节点，超时即返回错误
- 建议值参考业务 P95 响应时间，通常设为 3–8 秒；高实时性接口（如支付回调）可压到 3 秒以内
靠健康检查把流量真正避开坏节点
proxy_next_upstream 是“失败后兜底”，不是“提前规避”。没有健康检查，Nginx 仍会轮询已宕机但未标记的节点：
- 在 upstream 的每个 server 后加 max_fails=3 fail_timeout=30s：连续 3 次失败后，该节点 30 秒内不再参与调度
- 可选加 backup 节点：仅当所有主节点都被标记为不可用时才启用，适合降级服务
- 若用 Nginx Plus 或编译了 upstream_check_module，建议启用主动健康检查：health_check interval=3 fails=2 passes=2，比被动等待更早发现故障
区分请求类型，守住幂等底线
重试安全的前提是重复执行无副作用：
- GET / HEAD 请求可放心启用重试：天然幂等，配合 http_502/503/504 切换很稳妥
- POST / PUT / DELETE 默认不重试：Nginx 有安全机制保护，避免重复提交
- 若业务层已严格保障幂等（如通过 X-Request-ID + Redis 记录处理状态），且日志可追溯，才考虑谨慎开启；否则宁可返回明确错误，由客户端决定是否重试
