Nginx需通过三阶段超时（connect/send/read）、proxy_next_upstream重试及上游健康检查协同防御后端卡死：proxy_read_timeout设为业务合理上限（如12秒），启用http_504重试，配合max_fails=2与fail_timeout=15s实现节点自动摘除。
Nginx 本身不能“感知”后端是否卡死，但可以通过精准设置三阶段超时 + 主动重试 + 健康探测，让请求在卡死初期就快速失败、换路或降级，避免用户长时间等待和 worker 资源被拖住。
明确哪一环卡了，再设对应超时
Nginx 代理请求分三个独立计时阶段，日志会直接提示问题位置：
-
while connecting to upstream→ 卡在建连：调proxy_connect_timeout -
while sending request to upstream→ 卡在发请求（如大 Body 未传完）：调proxy_send_timeout -
while reading response header from upstream→ 卡在等响应头（最常见卡死点）：调proxy_read_timeout
盲目拉长所有 timeout 只会让用户干等、连接堆积、错误更难定位。真正有效的是：把 proxy_read_timeout 设为业务合理上限（比如接口平均耗时 8 秒，就设 12 秒），超时即断，返回 504。
用 proxy_next_upstream 实现“失败即换人”
默认只对连接失败（error）和发请求超时（timeout）重试，但后端卡死常表现为响应头迟迟不回——此时 Nginx 还在等，不会自动切节点。必须显式启用：
proxy_next_upstream error timeout http_502 http_503 http_504; proxy_next_upstream_tries 2; proxy_next_upstream_timeout 10s;
这样，只要某次请求因超时或收到 504 就立刻换下一台后端重试，整个过程控制在 10 秒内，用户几乎感觉不到卡顿。
配合上游健康检查，避免反复打挂机器
单靠重试不够，得让 Nginx 主动“记住”谁不可用：
upstream api_backend {
server 192.168.1.10:8000 max_fails=2 fail_timeout=15s;
server 192.168.1.11:8000 max_fails=2 fail_timeout=15s;
}连续两次失败（比如两次 504 或超时），该节点 15 秒内不再接收新请求，给后端喘息和恢复时间。
客户端侧也要防拖累
后端卡死时，若客户端也在慢速上传或空等，会进一步挤占资源：
-
client_body_timeout 30s：防止上传中途停住，占用连接 -
send_timeout 20s：Nginx 往客户端写响应时，两次写之间超 20 秒就断开 -
keepalive_timeout 30s：空闲长连接 30 秒自动释放，避免堆积
这些不是可有可无的补充，而是防止一个卡死请求引发连锁阻塞的关键防线。
验证是否生效很简单
停掉一台后端，发起请求，观察：
- access log 中
$upstream_addr是否切换到其他 IP - error log 是否出现
upstream timed out后紧跟reconnect或新地址 - 用户端是否在 12 秒左右收到响应（而非卡住 60 秒）
不复杂但容易忽略。
