由 dawei 传统安全策略常依赖防火墙和端口管控，但微服务架构下，服务间通信频繁、动态扩缩容频繁，仅靠“关端口”已无法应对东西向流量风险。一次未授权的API调用、一个被劫持的服务发现请求，都可能绕过边界防御，直击核心数据。
服务网格通过在每个服务实例旁注入轻量代理（如Envoy），将网络通信能力与业务逻辑解耦。所有进出流量自动经由代理处理，无需修改应用代码。这意味着即使应用监听在开放端口，实际通信也始终处于网格的加密与策略控制之下——端口开着，但数据从不裸奔。
默认启用mTLS是服务网格最基础的安全屏障。网格自动为服务颁发短期证书，强制双向身份验证，确保“A服务调用B”这件事本身是可信的。非法容器或仿冒实例即便接入集群，也无法建立有效连接，自然无法窃取或篡改数据。
访问控制不再停留在IP+端口维度，而是基于服务身份、HTTP路径、Header、甚至请求主体属性精细决策。例如，“支付服务仅允许订单服务在工作时间调用/v1/charge接口，且必须携带有效JWT”。规则以声明式方式定义，统一部署、实时生效，避免配置散落各处导致策略遗漏。
日志、指标与追踪全部由代理原生采集，涵盖请求延迟、错误率、TLS握手状态、策略拒绝详情等。运维人员可快速识别异常调用链——比如某个低权限服务突然高频访问敏感数据接口，系统即时告警并自动阻断，而非等待日志归集后人工分析。
网格本身也是被保护对象。控制平面（如Istio Pilot）与数据平面（Sidecar）间通信全程加密；管理员操作需RBAC鉴权；配置变更留痕审计。安全不是附加层，而是贯穿网格生命周期的设计基因。
AI生成的示意图，仅供参考
“端口一关，数据无忧”正在成为过时的认知。真正无忧，源于把安全能力下沉到服务通信的每一条路径上——让信任始于身份，控制精于语义，防护融于默认。当安全不再是部署后的补救措施，而成为服务运行的自然状态，数据才真正获得纵深保障。