服务网格通过数据平面与控制平面协同实现细粒度服务间授权。边车代理自动执行mTLS并验证服务身份证书，确保通信可信；控制平面集中管理AuthorizationPolicy策略，基于服务身份、请求方法、路径、标签等属性进行L7层访问控制，统一执行安全策略，避免权限逻辑硬编码，支持跨语言、多租户环境下的动态授权。
服务网格在云原生架构中通过将安全控制从应用层下沉到基础设施层，实现细粒度的服务间授权。其核心机制依赖于数据平面的代理边车（如Envoy）和控制平面（如Istio的Pilot、Citadel）协同工作，在服务通信过程中自动执行访问策略。
身份认证与mTLS
服务间授权的前提是可靠的身份识别。服务网格通常为每个服务实例注入一个边车代理，该代理在建立连接时自动协商mTLS（双向TLS），验证双方身份证书。这些证书由网格的证书管理组件（如Istio中的Citadel）动态签发，绑定服务身份（如spiffe://example.com/ns/default/sa/product-service），确保通信双方真实可信。
基于策略的访问控制
控制平面允许用户定义授权策略（AuthorizationPolicy），明确哪些服务可以调用目标服务，以及允许的操作。例如：
- 只允许frontend服务调用payment服务的/process路径
- 禁止开发命名空间中的服务访问生产数据库服务
- 要求请求携带特定JWT令牌才能访问API网关后端
这些策略被编译后分发至各边车代理，在请求转发前进行实时检查。
细粒度规则匹配
授权决策不仅基于服务身份，还可结合多种属性，包括：
- 请求方法（GET、POST等）
- HTTP头部或路径
- 客户端IP地址或命名空间标签
- 是否携带有效JWT及其中声明信息
边车代理在L7层解析流量内容，按优先级匹配策略规则，拒绝不符合条件的请求并记录日志。
基本上就这些。服务网格把授权逻辑集中管理，开发者无需在代码中硬编码权限判断，同时保障了跨语言、多租户环境下的统一安全策略执行。
