nginx可通过权重、健康检查与proxy_next_upstream组合实现主→次级→冷备三级容灾：主节点weight=10/max_fails=2，次级weight=4/max_fails=4，冷备加backup/max_fails=1；配合proxy_next_upstream_tries 3确保逐级降级。
在 Nginx 中实现多级容灾备份（即主节点 → 次级备用节点 → 冷备节点），不能靠单一 backup 关键字完成，因为原生 upstream 仅支持“所有非 backup 全挂，才启用一个 backup 节点”这一级兜底。但通过组合权重、健康检查参数和逻辑分组，可模拟出多级容灾效果。
用权重 + max_fails 实现“热备优先级分层”
虽然 Nginx 不支持显式“backup level=1”，但可通过 weight 和故障敏感度差异，让某些节点更早被剔除、另一些更晚启用，形成事实上的层级：
- 主中心节点：设
weight=10 max_fails=2 fail_timeout=15s—— 敏感摘除，快速让出流量 - 次级灾备节点（同城异地）：设
weight=4 max_fails=4 fail_timeout=45s—— 更耐抖动，只在主中心持续异常后才承接 - 冷备节点（异地或低配）：加
backup，且显式配置max_fails=1 fail_timeout=60s—— 最后一道闸，仅当前两级全部失效才激活
示例：
upstream app_cluster {
server 10.1.1.10:8080 weight=10 max_fails=2 fail_timeout=15s;
server 10.1.2.10:8080 weight=4 max_fails=4 fail_timeout=45s;
server 10.2.1.10:8080 backup max_fails=1 fail_timeout=60s;
}
用 proxy_next_upstream 配合重试次数控制“降级路径”
单次请求失败时，Nginx 默认最多尝试一次重试（到下一个可用节点）。要实现“先试主 → 再试次级 → 最后走冷备”，需限制重试范围并配合节点状态：
- 在
location块中设置proxy_next_upstream error timeout http_502 http_503 http_504 - 加上
proxy_next_upstream_tries 3：最多换 3 个节点（含初始节点），确保能覆盖主+次级+冷备 - 搭配
proxy_next_upstream_timeout 20s：总重试耗时上限，防卡死
注意：该策略依赖 upstream 中节点顺序与健康状态。Nginx 按定义顺序遍历“当前标记为 up 的节点”，所以冷备节点必须排在最后，且带 backup 才不会提前参与轮询。
用多个 upstream + if 判断实现“逻辑级联”（进阶）
若需更明确的多级控制（例如：主集群全挂 → 切次级集群；次级也挂 → 切静态响应页），可用两个 upstream + 变量判断，但需谨慎：
- 定义
upstream primary和upstream fallback，各自含 backup 节点 - 在
location中用proxy_pass尝试 primary；若返回 502/503，再用error_page 502 503 = @fallback跳转 location @fallback { proxy_pass http://fallback; }
该方式可控性强，但会增加一次内部跳转延迟，适合对降级路径有强语义要求的场景（如返回定制化维护页）。
关键前提：所有节点都得“真能扛住流量”
多级容灾不是配置游戏，而是真实承载能力的分级承诺：
- 主节点宕机后，次级节点要能立刻承接 100% 流量 —— 需压测验证 QPS、连接数、内存占用
- 冷备节点虽不常跑，但证书、TLS 配置、API 路由规则必须与主环境一致，否则切过去就 404 或 500
- 所有节点的数据源（数据库、缓存）需提前同步或具备最终一致性机制，避免切换后读到脏数据
不复杂但容易忽略。
