proxy_next_upstream仅在显式配置的error、timeout、http_500/502/503/504、invalid_header等错误类型发生时触发重试，需配合tries、timeout及upstream的max_fails/fail_timeout才能形成有效容错闭环。
proxy_next_upstream 不是开个开关就能自动容错的，它只在特定错误发生时才触发重试，且必须配合 proxy_next_upstream_tries、proxy_next_upstream_timeout 和 upstream 的 max_fails/fail_timeout 才能形成有效闭环。
哪些错误会真正触发 proxy_next_upstream 重试
默认不生效，必须显式列出错误类型。Nginx 只对以下几类失败“认为可重试”：
-
error：建连被拒、连接中断、DNS 解析失败等底层网络异常（总是计入max_fails） -
timeout：含proxy_connect_timeout、proxy_send_timeout、proxy_read_timeout超时（也总是计入max_fails） -
http_500/http_502/http_503/http_504：必须显式写进配置，否则返回这些状态码时不会重试，也不会累加max_fails -
invalid_header：后端返回空响应或非法 HTTP 头（比如缺失 Status 行），这类错误容易被忽略但实际很常见
http_404、http_403 等客户端错误默认不重试，除非业务明确允许（如静态资源多副本部署）。盲目加上 http_404 可能导致重复提交或计费异常。
proxy_next_upstream_tries 和 proxy_next_upstream_timeout 怎么设才合理
这两个参数控制重试的“边界”，设得太松会拖慢响应，太紧又起不到容错作用：
-
proxy_next_upstream_tries 3：表示最多尝试 3 个不同节点（含首次），建议 ≤ 后端节点数，避免轮空；设为 0 表示不限次数（生产环境禁用） -
proxy_next_upstream_timeout 6s：从第一次请求发出开始倒计时，超时即终止并返回 502；它不等于单次proxy_read_timeout，而是所有重试环节耗时总和上限 - 典型搭配：
proxy_connect_timeout 3s+proxy_read_timeout 5s+proxy_next_upstream_timeout 6s—— 首次若卡在读取阶段，5 秒就触发重试；若第二台也慢，6 秒总窗一到立刻放弃
不设 proxy_next_upstream_timeout 是最大隐患：4 台后端各卡 14 秒，用户可能等满 56 秒才看到错误。
upstream 中 max_fails 和 fail_timeout 的真实作用
它们不参与单次重试决策，但决定了“下次请求还敢不敢打过去”：
-
max_fails=3：连续 3 次失败（由proxy_next_upstream触发的 error/timeout/显式 http_5xx 才会计入）后，该节点被标记为不可用 -
fail_timeout=30s：30 秒内不再选它；30 秒后自动恢复探测，若成功则重新纳入可用池 - 所有节点都被标记为不可用时，Nginx 会强制恢复全部节点再试一次 —— 这是兜底行为，不是常态
注意：backup 节点只在非 backup 全挂时启用，且不参与 max_fails 统计，适合放降级服务或离线处理节点。
为什么单独配 proxy_next_upstream 仍会看到 502
常见原因不是配置漏了，而是逻辑没闭环：
- 只在
location里写了proxy_next_upstream，但 upstream 块里没配max_fails/fail_timeout→ 下次请求仍可能打到刚失败的节点 - 重试总超时
proxy_next_upstream_timeout小于单次proxy_read_timeout→ 还没等到响应就超时放弃 - 后端返回的是
http_499（客户端主动断连）或http_501（未实现）→ 这些不在可重试列表里，也不会触发max_fails计数 - 用了
keepalive连接池但后端进程崩溃，TCP 连接仍处于 ESTABLISHED 状态 → Nginx 发包无响应，靠proxy_read_timeout触发 timeout，而非 error
真正可靠的容错，是 proxy_next_upstream（被动重试） + max_fails/fail_timeout（被动摘机） + 主动健康检查（如 health_check 指令，需商业版或 OpenResty）三者共存。缺任一环，都可能出现“明明配了却还是报错”的情况。
