Nginx 本身不原生支持熔断，但可通过 OpenResty + Lua 实现类熔断逻辑；故障转移则依托 upstream 模块的主动健康检查、max_fails/fail_timeout 参数及 backup 节点机制实现自动剔除、恢复与降级切换。
Nginx 本身不原生支持熔断（Circuit Breaker）语义，但结合 OpenResty + Lua 可以实现类熔断逻辑；故障转移则通过 upstream 模块的健康检查与 backup 机制天然支持。关键在于把“被动容错”变成“主动感知+快速响应”，而不是等连接超时才切换。
故障转移：靠 upstream 的智能节点管理
核心是让 Nginx 主动识别后端异常，并自动剔除、恢复或切到备用节点：
-
启用主动健康检查：OpenResty 的
lua-resty-upstream-healthcheck模块可定期探测后端 HTTP 接口（如/health），失败达阈值即标记为 down，成功连续若干次再恢复 -
合理设置 max_fails / fail_timeout：例如
max_fails=3 fail_timeout=30s表示 30 秒内连续失败 3 次就暂停转发，避免雪崩式重试 -
配置 backup 节点：在 upstream 中显式声明
server 10.0.1.99:8080 backup;，仅当所有主节点不可用时才启用，适合降级页或兜底服务 - 使用 least_conn 或 ip_hash 增强局部稳定性：避免某台后端因突发流量过载后，仍持续被轮询分配新请求
类熔断机制：用 Lua 实现状态感知与请求拦截
真正的熔断需记录失败率、维持状态、拒绝新请求——这必须借助 Lua 脚本在 access_by_lua* 阶段完成：
-
共享字典存储熔断状态：用
lua_shared_dict circuit_breaker 10m;存储每个 upstream 的失败计数、开启时间、恢复倒计时 - 在 balancer_by_lua* 中动态决策：若当前 upstream 处于 OPEN 状态，直接返回 503 并跳过转发；若为 HALF-OPEN，则放行少量请求试探
- 失败回调触发状态跃迁：proxy_next_upstream 配合 lua_capture_body，捕获 5xx 响应后调用 Lua 更新失败计数，达到阈值（如 50% 错误率持续 60 秒）即 OPEN
- 自动半开恢复：OPEN 状态下启动定时器，到期后自动进入 HALF-OPEN，成功则 CLOSE，否则重置计时器
配套增强：让故障转移更可靠
单靠 upstream 和 Lua 不足以应对真实微服务场景，还需协同配置：
- 超时分层控制：client_header_timeout、proxy_connect_timeout、proxy_read_timeout 必须严格小于后端服务的处理超时，防止 Nginx 卡住连接不释放
-
限制重试次数：用
proxy_next_upstream error timeout http_500 http_502 http_503 http_504;+proxy_next_upstream_tries 2;，避免反复重试已不可用节点 -
连接复用与保活：启用
proxy_http_version 1.1;和proxy_set_header Connection '';，减少建连开销，提升故障后恢复速度 -
可观测性对齐：在 log_format 中加入
$upstream_addr、$upstream_status、$upstream_response_time，便于定位是哪个节点失联或响应慢
真正稳定的网关不是靠堆参数，而是让每个环节都有明确的失败边界和响应路径。Nginx 提供了扎实的底座，而 OpenResty + Lua 把它变成了可编程的流量控制器。
