分类：云原生与微服务

服务网格（Service Mesh）的核心目标是将微服务治理中的非功能性需求（如熔断、限流、灰度发布、mTLS 加密、服务发现）从应用业务代码中彻底解耦，下沉至基础设施层。Istio 采用经典的控制平面（Istiod）与数据平面（Sidecar Envoy）分离架构。在一个启用了自动注入的 Kubernetes Pod

Kubernetes 本身不实现 Pod 网络，而是通过 CNI（Container Network Interface） 规范将网络配置委托给插件（如 Calico、Cilium、Flannel）。 一、veth pair 的创建与命名空间迁移 每个 Pod 拥有独立的网络命名空间，插件通过 veth pair 将

在庞大的微服务网格中，一个简单的用户点击可能会在内部引发数十次跨服务 RPC、数据库读写及异步消息队列投递。一旦接口出现毛刺或偶发异常，若无全局追踪机制，快速定界排障几乎是一场噩梦。OpenTelemetry（OTel）作为 CNCF 的顶级开源项目，已成为行业统一的可观测性基础设施标准。分布式链路追踪的底层理论基石是

Kubernetes 通过 Requests 与 Limits 控制 Pod 的资源分配与上限，并据此划分 QoS 等级，决定节点资源紧张时的驱逐优先级。 一、QoS 三个等级 Guaranteed：所有容器的 CPU/内存 requests 等于 limits，最高优先级 Burstable：requests 小于

容器镜像往往包含基础镜像、依赖库与应用代码，任一环节的漏洞都会随镜像进入生产环境。 一、多阶段构建减小攻击面 使用 distroless 基础镜像可移除包管理器与 Shell，显著缩小攻击面。 二、CI 流水线集成漏洞扫描 将 Trivy、Grype 等扫描工具接入 CI，发现高危漏洞时阻断镜像推送，并定期重建基础镜像