go服务需正确注入istio sidecar并启用mtls：先为命名空间打标签istio-injection=enabled，确保pod无sidecar禁用注解，验证注入后检查peerauthentication和destinationrule是否设为strict及istio_mutual；http调用须用服务名、禁用客户端重试、超时以istio配置为准；指标通过promhttp暴露并加scrape注解；grpc需显式tls配置及grpc协议标识。
Go 服务如何正确注入 Istio Sidecar 并启用 mTLS
没手动配置 istio-injection=enabled 或没走 Istio 的 Deployment 模板，Go 服务根本进不了 Service Mesh 流量治理闭环。Sidecar 不在，Envoy 就不接管流量，所有熔断、重试、超时策略全失效。
- 必须在命名空间打标签：
kubectl label namespace default istio-injection=enabled（或对应命名空间） - Deployment 创建前确保 Pod 模板里没显式指定
sidecar.istio.io/inject: "false" - 验证是否注入成功：执行
kubectl get pod -o wide，看 Pod 名字是否带-xxx-xxxxx后缀，且kubectl describe pod <name></name>中应看到两个容器：istio-proxy和你的 Go 应用 - 若已注入但 mTLS 不生效，检查 PeerAuthentication 资源是否设为
STRICT，且目标规则（DestinationRule）中trafficPolicy.tls.mode设为ISTIO_MUTUAL
Go HTTP 客户端调用 Istio 服务时的超时与重试陷阱
Go 原生 http.Client 的 Timeout 会和 Istio 的 timeout、retries 配置叠加甚至冲突——Istio 在 L4/L7 层拦截后，可能在 Go 客户端超时前就已返回 503 或直接断连。
- Istio 的
timeout（如 VirtualService 中的timeout: 3s）作用于 Envoy 出站请求，优先级高于 Go 的http.Client.Timeout - 重试需由 Istio 控制：Go 侧不要自己封装重试逻辑，否则可能绕过 Istio 的熔断统计；应在 VirtualService 中配
retries，例如attempts: 3, perTryTimeout: 2s - Go 服务作为客户端时，务必用服务名（如
http://product-service:8080）而非 IP 或 Ingress 地址直连，否则跳过 Sidecar，Istio 策略不生效 - 若出现
context deadline exceeded但日志里没看到 Envoy 访问记录，基本是 Go 客户端直连了 ClusterIP 或 NodePort，没走 Sidecar
在 Go 中实现熔断指标上报并对接 Istio 的 Telemetry V2
Istio 自身不依赖应用上报熔断状态，它靠 Envoy 主动探测上游健康度（如连续失败次数、5xx 比率）来触发熔断。Go 应用只需暴露标准指标格式，让 istio-telemetry（现为 istiod 内建）能采集即可。
- 无需在 Go 代码里集成 Hystrix 或 Sentinel；Istio 的熔断完全由
DestinationRule中的outlierDetection控制，例如consecutive5xxErrors: 5 - Go 服务建议用
promhttp暴露/metrics，指标名保持默认（如http_request_duration_seconds），Istio 默认 scrape 配置可自动识别 - 关键点：确保 Pod 的
prometheus.io/scrape=true注解存在，且prometheus.io/port指向 Go 服务的 metrics 端口（如"9090"） - 若想在 Grafana 看到按服务/版本维度的熔断触发次数，需确认 Istio 使用的是
telemetry v2（1.10+ 默认开启），且未禁用envoy_access_log_service
Go 微服务升级 Istio 版本后 gRPC 连接中断的常见原因
gRPC over HTTP/2 是 Istio 流量治理的高频场景，但 Istio 升级常带来 ALPN 协议协商、TLS 握手行为变化，Go 默认的 grpc.Dial 若没显式配 WithTransportCredentials，大概率在 1.16+ 版本里直接报 connection closed 或 transport: authentication handshake failed。
立即学习“go语言免费学习笔记（深入）”；
- 必须使用 TLS 连接：即使集群内通信，也得传
credentials.NewTLS(&tls.Config{})，空 config 即可，Envoy 会处理实际证书 - 禁用 ALPN 强制协商（仅调试用）：
grpc.WithTransportCredentials(credentials.NewTLS(&tls.Config{NextProtos: []string{"h2"}}))，避免因 Istio Sidecar 的 ALPN 设置不一致导致握手失败 - 检查 DestinationRule 是否对 gRPC 服务设置了
port.protocol: GRPC，否则 Istio 可能当普通 HTTP 处理，导致 header 透传异常或健康检查失败 - 若用
grpc-gov1.40+，注意WithBlock()在 Sidecar 启动慢时会卡死，建议改用WithContext+ 超时控制
