nginx实现无感故障转移需配置proxy_next_upstream支持502/503/504等错误重试，配合max_fails健康检查、tries/timeout限流，并仅对幂等请求启用。
要让 Nginx 在轮询后端时实现“无感故障转移”，关键不是让请求永远不失败，而是让单次失败不暴露给客户端——即在当前节点不可用时，自动、快速、有限度地换一个健康节点重试，整个过程对调用方透明。这需要 proxy_next_upstream 与上游健康机制、超时控制、错误类型筛选协同工作，缺一不可。
必须显式声明哪些错误才触发重试
Nginx 默认只对 error（连接拒绝、断连）和 timeout（建连或读响应头超时）重试，不会自动重试 502/503/504。而这些状态码恰恰是后端瞬时崩溃、重启、过载最常返回的信号。所以必须手动加上：
- http_502 http_503 http_504：覆盖网关异常、服务熔断、反向代理超时等典型场景
- 可选加 invalid_header：防后端返回空响应或非法头（如 PHP 崩溃输出错误信息）
- 避免加 http_404 或 http_403：这是业务路径或权限问题，重试无意义，还可能引发重复操作
- 慎加 http_500：除非确认是偶发 GC 暂停等临时问题，否则应先排查日志，而非靠重试掩盖
严格限制重试次数与总耗时
重试不是越多越好，失控的重试会放大延迟甚至拖垮整条链路。两个参数必须成对设置：
- proxy_next_upstream_tries 3：最多尝试 3 个不同节点（含首次），即最多重试 2 次；若 upstream 只有 2 台主节点，该值不宜超过 2
- proxy_next_upstream_timeout 6s：从第一次请求发出开始计时，6 秒内无论试了几个节点，超时即返回错误；它应略大于单次 proxy_read_timeout（比如设为 5s），但不能过大
依赖被动健康检查，让“失败”真正变成“规避”
proxy_next_upstream 是“失败后兜底”，不是“提前绕开”。若不配健康检查，Nginx 仍会把新请求轮询到已宕机但尚未标记的节点，导致每次请求都先失败再重试，白白消耗资源：
- 在 upstream 中每个 server 后加 max_fails=3 fail_timeout=30s：连续 3 次失败（包括重试触发的 502/504）后，该节点 30 秒内不再参与调度
- 可加 backup 节点：仅当所有主节点都被标记为不可用时才启用，适合灾备或降级服务
- 若用 Nginx Plus 或编译了 upstream_check_module，建议启用主动健康检查：health_check interval=3 fails=2 passes=2，比被动等待更早发现故障
只对幂等请求开启重试，守住安全底线
重试 = 重复发送请求，对非幂等操作极危险：
- GET / HEAD 天然幂等，可放心启用 502/504 重试
- POST / PUT / DELETE 默认不重试；Nginx 本身有保护机制，即使配置了也不会对这类方法重试请求体
- 若业务层已严格保障幂等（如通过 X-Request-ID + Redis 去重），且日志可追溯，才考虑谨慎开启；否则宁可让客户端重试或返回明确错误
- 搭配 proxy_buffering off; proxy_request_buffering off;（Nginx ≥ 1.7.11），防止请求体缓存导致重试失败
