金融级零丢包故障转移需多层协同：nginx通过max_fails/fail_timeout实现节点冷隔离，proxy_next_upstream精准控制可重试错误，tries/timeout硬限总耗时，并辅以backup节点与外部健康检查兜底。
金融级零丢包的故障转移不是靠单点“重试”实现的，而是由多层协同机制+严格约束+业务配合共同保障的结果。Nginx 本身无法单独做到零丢包，但它可以成为这个架构中关键、可控的一环——前提是配置不妥协、边界不模糊、行为可预期。
用 max_fails + fail_timeout 实现节点级“冷隔离”
避免请求打到已失效节点是零丢包的前提。Nginx 不会主动探测，但可通过被动失败快速标记：
- max_fails=2：连续 2 次失败即下线，不过度容忍（比如连接拒绝、超时或明确返回 502/503/504）
- fail_timeout=15s：15 秒内失败达阈值则隔离；超时后自动试探恢复，不依赖人工干预
- 每个 server 行单独配参数，不同节点性能差异大时，避免“一刀切”导致误判
proxy_next_upstream 必须精准控制重试范围
重试不是越多越好，而是只对“可安全重放”的失败才换节点：
- 显式启用：proxy_next_upstream error timeout http_502 http_503 http_504
- 禁用 http_400、http_404、http_500：它们多属客户端错误或业务异常，重试可能引发重复扣款、重复记账
- 加 invalid_header 防后端崩溃后返回空响应（如缺失 Status 行），这类响应 Nginx 无法解析，也应重试
用 tries + timeout 锁死单次请求的总耗时上限
金融场景不能接受“长尾延迟”，必须从时间维度硬性截断：
- proxy_next_upstream_tries 3：最多尝试 3 个节点（含首次），即最多重试 2 次
- proxy_next_upstream_timeout 5s：从第一次请求发出起计时，所有重试累计不得超过 5 秒
- 该 timeout 值需略大于 proxy_read_timeout（建议设为 proxy_read_timeout + 0.5s），否则首次请求未完成就被截断，重试根本不会触发
引入 backup 节点 + 外部健康检查兜底
当主集群全部不可用时，需有确定性接管路径：
- upstream 中定义 backup 节点（如灾备机房或灰度集群），它默认不参与轮询，仅当所有非 backup 节点被标记为不可用时才启用
- backup 节点自身也配 max_fails=1 fail_timeout=10s，防止它自己也成瓶颈
- 开源 Nginx 无主动健康检查，建议配合外部脚本（如 curl + HTTP 200 + 自定义 body 校验）定期探测，并通过 reload 或动态 upstream 模块更新状态
不复杂但容易忽略。
