nginx中proxy_pass写死域名仅启动时解析dns，加resolver不生效是因为必须配合变量使用（如set $upstream "x.com"; proxy_pass http://$upstream;），resolver才触发动态解析；推荐1.19.9+的upstream resolve方案。
直接写死域名的 proxy_pass（比如 proxy_pass https://api.example.com;）永远只在 Nginx 启动或重载时解析一次 DNS，之后所有请求都发往缓存下来的 IP。哪怕后端 IP 已变更、DNS TTL 已过期、甚至域名已下线，Nginx 也完全无感——这是生产环境中最隐蔽却高频引发 502/连接超时的根源之一。
为什么加了 resolver 还是不生效？
很多人配置了 resolver 8.8.8.8 valid=10s;，却发现日志里仍是旧 IP，连接没切换。根本原因在于：resolver 指令本身不会自动作用于字面量域名。它只是“备好了解析器”，但 Nginx 默认对 proxy_pass http://xxx.com; 这类写法，压根不会调用这个解析器——而是走启动时的静态 getaddrinfo() 路径。
真正触发 resolver 的唯一方式是：proxy_pass 的值必须是一个变量（哪怕只是简单赋值），例如：
set $upstream "api.example.com";proxy_pass http://$upstream;
只有这时，Nginx 才会在每次需要建立新连接（或缓存过期后）调用 resolver 指定的 DNS 服务器去查记录。变量是开关，resolver 是工具，缺一不可。
resolver 放在哪？valid 时间怎么设？
作用域必须匹配：resolver 需出现在与变量同级或更外层的块中。常见错误是把它写在 http 块顶层，但在 location 里用变量，结果因版本兼容性（尤其旧版）导致不生效。稳妥做法是直接放在 location 或 server 块内：
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
location /api/ { resolver 114.114.114.114 8.8.8.8 valid=15s; set $backend "api.example.com"; proxy_pass https://$backend; }
valid 参数决定刷新节奏：它不是 DNS TTL 的搬运工，而是你给 Nginx 缓存结果设定的“保质期”。设为 15s 表示最多 15 秒后下次请求会重新查 DNS；设为 300s 就几乎退化成静态解析。云服务扩缩容、CDN 回源切流等场景，建议 10–30 秒；内网稳定服务可放宽至 60 秒。
比变量 + resolver 更稳的方案：upstream resolve
Nginx 1.19.9+ 原生支持 resolve 参数，这是面向生产环境的推荐写法：
- 在
http块定义全局 resolver：resolver 1.1.1.1 valid=10s; - 用 upstream 显式管理后端：
upstream origin_pool { server origin.example.com:443 resolve; } - 代理时直接引用：
proxy_pass https://origin_pool;
优势明显：自动轮询多 A/AAAA 记录、天然支持健康检查剔除失效 IP、无需手动 set 变量、避免 location 级 resolver 配置遗漏。HTTPS 回源务必确认 upstream 中端口与协议一致，并开启 proxy_ssl_* 相关配置。
如何验证动态解析真正在工作？
别只看配置有没有报错。实操验证三步走：
- 临时把目标域名的 DNS 解析结果改成另一个测试 IP（如用 dnsmasq 或修改 hosts），观察 Nginx error 日志是否出现
resolving或host not found类提示 - 用
ss -tnp | grep :443抓当前 worker 进程连接的目标地址，等 valid 时间过后再执行一次，看 IP 是否更新 - 开启
error_log /var/log/nginx/error.log debug;，搜索resolver关键字，确认有 “cached”、“updated”、“expired” 等日志输出
没有日志、IP 不变、连接不切换——说明 resolver 和变量的组合还没真正跑通。
