linkerd 的 linkerd inject 未生效主因是资源不满足注入前提：必须为带 labels 的 pod 模板（如 deployment 的 spec.template），且 namespace 已启用自动注入或显式标注 linkerd.io/inject: enabled；手动注入需加 --manual 参数。
Linkerd 的 linkerd inject 为什么没生效？
常见现象是跑完 linkerd inject，Pod 启动后却没看到 linkerd-proxy 容器，或者 kubectl get pod 显示状态为 Init:0/1 卡住。根本原因通常是目标资源没满足注入前提：必须是带 metadata.labels 的 Pod 模板（比如 Deployment 的 spec.template），且 namespace 已启用自动注入或显式加了 linkerd.io/inject: enabled 标签。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 检查是否对错对象——
linkerd inject只处理含spec.template.spec.containers的 YAML，直接对Pod资源用会静默失败 - 确认 namespace 已标记：
kubectl get ns -L linkerd.io/inject，未显示enabled就得先kubectl label namespace default linkerd.io/inject=enabled - 如果手动注入，别漏掉
--manual参数：linkerd inject --manual deploy.yaml，否则默认走自动注入逻辑，可能跳过校验
Python 应用怎么避免被 linkerd-proxy 拦截健康检查？
Python 服务（尤其 Flask/FastAPI）常把 /healthz 或 /readyz 做成 HTTP 端点，但 linkerd-proxy 默认拦截所有出向流量，包括自己发给本地应用的探针请求，导致 readiness/liveness 失败、Pod 反复重启。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 在 Deployment 的容器里加环境变量：
LINKERD2_PROXY_INBOUND_PORTS_DISABLE_PROTOCOL_DETECTION=8080,8000（把你的应用端口列进去） - 更稳妥的做法是显式排除健康检查路径：用
config.linkerd.io/skip-outbound-ports注解，但注意这是针对 outbound 流量；真正要改的是 inbound，所以优先用LINKERD2_PROXY_INBOUND_PORTS_DISABLE_PROTOCOL_DETECTION - 验证方式：
kubectl exec -it <pod> -c linkerd-proxy -- sh -c 'curl -v http://localhost:8080/healthz'</pod>，应返回 200 且不报 TLS 错误
linkerd-proxy 内存暴涨到 200MB+ 怎么压？
Python 应用本身轻量，但 sidecar 占用过高内存，往往不是 proxy 本身问题，而是它被迫处理大量短连接或未关闭的 HTTP keep-alive 连接。Linkerd 默认为每个连接维持 idle 超时 5 分钟，而 Python 的 requests 或某些异步 client 默认不设 timeout，连接堆积后 proxy 缓存暴涨。
客客出品专业威客系统英文名称KPPW，也是keke produced professional witkey的缩写。KPPW是一款基于PHP+MYSQL技术构架的威客系统，积客客团队多年实践和对威客模式商业化运作的大量调查分析而精心策划研发，是您轻松搭建威客网站的首选利器。KPPW针对威客任务和商品交易模式进行了细致的分析，提供完善威客任务流程控制解决方案，并将逐步分享威客系统专业化应用作为我们的
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 在 Deployment 中给
linkerd-proxy加资源限制：resources.limits.memory: "128Mi"，并配config.linkerd.io/proxy-cpu-limit注解防 CPU 抢占 - 关键动作：在 Python 代码里显式控制 HTTP 客户端行为，比如
requests.Session()设timeout=(3, 7)，或用aiohttp.TCPConnector(limit=10, keepalive_timeout=30) - 禁用不必要的协议探测可减小开销：
config.linkerd.io/skip-inbound-ports: "8080"（对应应用端口），避免 proxy 对每个请求做 protocol sniffing
用 linkerd tap 查 Python 请求失败，却看不到具体错误？
linkerd tap 默认只显示成功流量，4xx/5xx 响应体、gRPC status code、甚至连接拒绝（connection refused）都可能被过滤。Python 应用抛异常但没打日志，又没被 tap 捕获，就容易误判是网络层问题。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 加
--include参数强制捕获错误流：linkerd tap deploy/my-python-app --include "response-status>=400" - 如果用 gRPC，必须加
--proto并指定 proto 文件路径，否则 tap 只显示 raw payload，看不出status: UNKNOWN还是status: UNAVAILABLE - 最易忽略的一点：tap 不显示 TLS 握手失败（如证书不匹配）、DNS 解析失败这类前置错误，得配合
linkerd routes和kubectl logs -c linkerd-proxy交叉验证
sidecar 的“轻量”是相对 Istio 而言的，但它对 Python 这类高并发短连接场景依然敏感——配置没对齐、客户端不设超时、探针路径没绕过，三者任一没处理，proxy 就会从帮手变瓶颈。
