proxy_next_upstream 是 nginx 被动容错机制，仅在 error、timeout、invalid_header 或显式配置的 http 状态码（如 http_502/503）等条件下触发上游节点切换，需配合 tries、timeout 及健康检查使用。
proxy_next_upstream 是 Nginx 反向代理中实现后端节点故障自动转移的关键指令，它控制在什么条件下将请求转发给 upstream 块中的下一个服务器。它不决定“是否重试”，而是定义“重试的触发条件”和“重试行为边界”。
proxy_next_upstream 的作用范围与生效前提
该指令只在 location 或 server 块中配置，且仅对使用 proxy_pass 指向 upstream 组的请求生效。单独用 proxy_pass http://127.0.0.1:8080（直连地址）时，此指令无效。
必须配合 upstream 定义使用，例如：
upstream backend {
server 192.168.1.10:8080;
server 192.168.1.11:8080;
}
常用触发条件参数及实际含义
可组合多个条件，用空格分隔。常见有效值包括：
- error：与后端建立连接时失败（如拒绝连接、超时），或发送请求头时出错
- timeout：连接后端超时，或读取响应头超时（注意：不包含响应体读取超时）
- invalid_header：后端返回了空响应、非法 HTTP 状态行或无法解析的响应头
- http_500、http_502、http_503、http_504：明确指定对这些状态码触发重试
- non_idempotent：允许对非幂等请求（如 POST）也启用重试（默认禁用，因可能造成重复提交）
示例配置：
location /api/ {
proxy_pass http://backend;
proxy_next_upstream error timeout http_502 http_503;
proxy_next_upstream_tries 3;
proxy_next_upstream_timeout 10s;
}
配合使用的三个关键限制指令
仅设 proxy_next_upstream 不足以稳定控制重试行为，还需明确以下三项：
- proxy_next_upstream_tries：最多尝试多少个 upstream 成员（含首次），默认为 0（无限），建议设为 2–4
- proxy_next_upstream_timeout：整个重试过程的总超时时间（从第一次发起请求开始计），超时即返回错误，而非继续轮询
- proxy_buffering off（谨慎使用）：若后端返回大响应体且启用了缓冲，重试可能失败；某些场景需关闭缓冲以支持重试流式响应
不推荐依赖但常被误解的行为
该机制不是健康检查替代方案。它只在单次请求失败时被动切换，不会主动探测节点是否存活。长期不可用节点仍会参与轮询，直到某次请求触发失败才跳过。真正保障可用性需搭配：
- upstream 中的 health_check（商业版 Nginx Plus）
- 或开源版配合
max_fails+fail_timeout实现被动健康检测 - 或外部探活 + 动态配置 reload（如 Consul + nginx-upsync-module）
