预防雪崩的关键是为重试设硬性边界：proxy_next_upstream_tries（总次数含首次，如3表示最多3次）、proxy_next_upstream_timeout（总耗时上限，如10s），并仅对error、timeout等可恢复错误重试，同时必须启用健康检查主动剔除故障节点。
预防 Nginx 负载均衡中的雪崩效应，关键不是多试几次，而是让每次重试都“有边界、有节奏、有退出条件”。盲目提高重试次数，反而会把压力复制到多个后端节点，尤其在上游已出现响应变慢或部分失联时，极易触发连锁失败。
明确 proxy_next_upstream_tries 的真实含义
这个参数控制的是单次请求的总转发次数（含首次），不是“额外再试 N 次”：
- 设为 3：表示最多发起 3 次请求——第 1 次发给原始 upstream 节点，失败后最多再换 2 个节点重试；
- 设为 1：等同于禁用重试，适合订单提交、支付回调等非幂等操作；
- 设为 0（Nginx 默认值）：无限重试，生产环境必须显式覆盖，极其危险；
- 设为 ≥5：尤其当 upstream 节点少于 3 台时，大概率反复打同一台故障机器，加速雪崩。
必须与 timeout 绑定使用，堵住长尾等待
proxy_next_upstream_timeout 是从第一次请求发出开始计时的总耗时上限，超时即刻终止所有尝试并返回错误。只设 tries 不设 timeout，等于放任慢请求无限占资源：
- 若单次合理响应约 3 秒，tries=3 时建议 timeout 设为 8–10 秒（留出网络与调度余量）；
- 若 proxy_read_timeout 是 5 秒，timeout 不宜超过 12 秒，否则第三次尝试可能只剩不到 1 秒，几乎必然失败；
- 典型安全组合：proxy_next_upstream_tries 3; proxy_next_upstream_timeout 10s;
只对真正可恢复的错误重试，避免误放大业务异常
重试不是兜底万能键，加错状态码会把 4xx 或 5xx 业务错误反复推向后端：
- 最小安全集：error timeout（连接失败、超时）；
- 确认上游稳定且幂等后，可谨慎加入：http_502 http_503 http_504；
- 绝对不要加：http_404 http_403 http_500——它们多属客户端错误或后端逻辑异常，重试无意义，还可能重复扣款、生成双订单；
- POST/PUT/DELETE 默认不重试，强行开启 non_idempotent 必须由后端 100% 保障幂等（如基于 X-Request-ID 去重）。
健康检查是重试生效的前提，否则就是空转
proxy_next_upstream 是被动兜底，健康检查才是主动防御。没有它，Nginx 会持续把请求发给已宕机或假死的节点，重试只是徒增负担：
- 启用主动探测：health_check interval=3 fails=2 passes=2;（需 Nginx Plus 或 upstream_check_module）；
- 配合被动机制：max_fails=2 fail_timeout=30s;，让短暂抖动不误踢，连续失败快速隔离；
- 确保 check_http_expect_alive 只认 2xx/3xx，避免 /health 接口返回 200 却实际不可用。
