Nginx智能故障转移核心是失败请求有限度切换至可用后端，需配置proxy_next_upstream配合错误筛选（如error timeout http_502-504）、重试约束（tries与timeout）、被动健康检查（max_fails/fail_timeout）及仅对幂等请求启用重试。
Nginx 实现智能故障转移，核心不是“自动选最优节点”，而是让失败请求快速、安全、有限度地切换到其他可用后端。proxy_next_upstream 是关键开关，但它本身不智能——必须配合错误筛选、重试约束、健康标记和幂等控制，才能形成真正可靠的容错链路。
明确哪些失败才触发重试
Nginx 默认只对 error（连接拒绝、TCP reset）和 timeout（建连或读响应头超时）重试，不会理睬 502/503/504 这类典型网关错误。生产环境必须显式声明：
-
error timeout http_502 http_503 http_504：覆盖后端崩溃、过载、熔断等高频场景 - 可加
invalid_header：防后端进程假死、返回空响应或非法 HTTP 头 - 不要加
http_404、http_403、http_500：这些是业务逻辑结果，重试无意义，还可能引发重复下单、扣款等风险
严格限制重试行为边界
无限重试等于放大故障。两个参数必须成对配置，缺一不可：
-
proxy_next_upstream_tries 3：最多尝试 3 次（含首次），即最多换 2 个节点。设为 0 或不写 = 无限重试，高风险 -
proxy_next_upstream_timeout 10s：从第一次请求发出开始计时，总耗时超 10 秒就直接返回 502。该值应略大于proxy_read_timeout × 期望有效尝试次数，例如read_timeout=5s，则timeout设为 8–12s 较合理
上游必须启用被动健康检查proxy_next_upstream 是“失败后兜底”，不是“提前绕开”。若不配健康检查，Nginx 仍会把新请求轮询到已宕机但尚未被标记的节点，每次都要先失败再重试。
在 upstream 的每个 server 行后加上：
-
max_fails=3 fail_timeout=30s：连续 3 次失败（包括重试触发的 502/504）后，该节点 30 秒内不再参与调度 - 可选加
backup节点：仅当所有主节点都被标记为不可用时才启用，适合灾备或降级服务
只对幂等请求启用重试，守住安全底线
重试本质是重复发送请求，非幂等操作极易出问题：
-
GET/HEAD天然幂等，可放心启用重试 -
POST/PUT/DELETE默认不重试，这是 Nginx 的安全机制 - 即使后端做了请求 ID 去重，也需额外关闭缓冲并启用
non_idempotent，但极易引发数据异常，不推荐
配置生效后，可通过临时 mock 某个后端返回 502（如 return 502;），再用 curl 多次请求，观察 $upstream_addr 和 $upstream_status 日志确认是否成功切换。
