Go服务接入服务网格无需修改业务代码，关键在于Kubernetes和服务网格配置：启用自动Sidecar注入需标签istio-injection=enabled；必须暴露/readyz端点、0.0.0.0监听、正确service selector；503常见于DestinationRule TLS配置错误或hosts域名不匹配。
Go 服务接入服务网格，不需要改一行业务代码，核心是让 Envoy（或 Linkerd-proxy）成为它的“网络管家”——所有进出流量自动被拦截、治理、观测。成败关键不在 Go 写得有多好，而在 Kubernetes 和服务网格的配置是否精准。
如何启用 Sidecar 注入：自动 vs 手动？
绝大多数场景下，你应该用命名空间级自动注入，而不是手动在每个 Deployment 里加 initContainer 或写死 envoy 镜像。
- 自动注入依赖
istiod的MutatingWebhookConfiguration，必须确保命名空间打了标签：kubectl label namespace default istio-injection=enabled
- 手动注入仅用于调试或特殊环境（如 CI Job），命令是：
istioctl kube-inject -f deployment.yaml | kubectl apply -f -
- 常见错误：部署后
Pod没有istio-proxy容器 → 检查命名空间标签是否拼错（比如写成istio-injction）、istiod是否就绪（kubectl get pod -n istio-system）
Go 服务必须暴露哪些端点？
Envoy 和 Kubernetes 会主动探测你的服务，但它们只认标准路径和协议。不提供这些，Sidecar 会认为你的服务“不健康”，直接踢出负载均衡池。
- 必须实现
/healthz或/readyzHTTP 端点，返回200（哪怕只是http.HandleFunc("/readyz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(200) })） - 监听端口必须显式声明在
containerPort中，且与ListenAndServe一致；Envoy 不会猜你监听的是:8080还是:3000 - 不要用
localhost或127.0.0.1绑定 —— 必须用0.0.0.0:8080，否则 Envoy 无法代理入向流量
为什么请求 503 或 “upstream connect error”？
这是接入 Istio 后最典型的“假失败”：不是 Go 服务挂了，而是 Envoy 拦截后找不到上游目标，或 TLS 握手失败。
立即学习“go语言免费学习笔记（深入）”；
- 检查
DestinationRule是否为服务设置了trafficPolicy，尤其是tls.mode: ISTIO_MUTUAL—— 如果没配 mTLS，却强制启用，就会 503 - 确认
Service的selector和 Pod 的labels完全一致（大小写、连字符都不能错） - 用
kubectl exec -it查看 Envoy 是否识别到目标集群；如果目标显示为-c istio-proxy -- curl -v http://localhost:15000/clusters outbound|8080||go-service.default.svc.cluster.local::default_priority::max_connections::1048576就说明注册成功
要不要在 Go 里集成 OpenTelemetry？
要，但只做两件事：传播上下文、打日志时带上 trace_id。其余（采样、上报、指标暴露）交给服务网格统一处理更稳。
- HTTP 客户端调用下游时，用
otelhttp.NewClient包一层，或手动把req.Header.Set("traceparent", ...)传过去 - gRPC 客户端用
otelgrpc.Interceptor()；服务端同理 - 避免在 Go 里重复埋点 Prometheus —— Istio 默认已通过
envoy_metrics暴露istio_requests_total等指标，直接复用即可 - 结构化日志中加
"trace_id": span.SpanContext().TraceID().String()，能让日志和 Jaeger 追踪对齐
真正卡住人的，往往不是 Go 代码写错了，而是 VirtualService 的 hosts 写成了 go-service 而不是 go-service.default.svc.cluster.local，或是忘了给命名空间打标签。服务网格的“透明性”是有前提的：它只对它认得出来的服务透明。
