服务网格通过Sidecar代理在基础设施层统一执行策略，实现流量控制、安全策略、可观测性与配额管理，降低开发负担并提升一致性；控制平面下发规则，数据平面执行，全过程对业务透明。
服务网格通过在应用层和网络层之间引入专用的基础设施层来实现策略执行，这个层由一组轻量级网络代理（通常称为Sidecar）组成，与每个服务实例一同部署。这些代理拦截服务之间的所有通信，并在不修改业务代码的前提下执行各类策略。
流量控制策略
服务网格允许通过声明式配置实现细粒度的流量管理，包括路由规则、超时、重试和熔断等。
- 路由规则：根据请求头、路径或权重将流量导向不同版本的服务，支持灰度发布和A/B测试。
- 超时与重试：为调用设置最大等待时间和自动重试次数，防止因短暂故障导致整体服务不可用。
- 熔断机制：当某个下游服务响应异常时，自动切断请求并返回默认响应，避免雪崩效应。
安全策略执行
服务网格在通信层面统一实施安全策略，确保服务间调用的可信性和数据保护。
- mTLS（双向TLS）：自动在Sidecar之间建立加密通道，确保传输安全。
- 身份认证与授权：基于服务身份进行访问控制，例如只允许特定服务调用数据库服务。
- 策略审计：记录服务调用行为，便于合规审查和异常检测。
可观测性与配额控制
服务网格收集调用链、指标和日志，同时支持基于这些数据动态执行策略。
- 限流与配额：限制单位时间内请求的数量，防止资源被过度占用。
- 基于指标的自动策略调整：结合Prometheus等监控系统，触发降级或扩容操作。
- 分布式追踪集成：帮助识别性能瓶颈，辅助制定优化策略。
基本上就这些。服务网格把策略执行从应用中剥离出来，交给基础设施统一处理，既降低了开发负担，也提升了策略的一致性和可维护性。关键在于控制平面（如Istio的Pilot、Citadel）下发规则，数据平面（如Envoy）负责实际执行。整个过程对业务透明，但需要合理设计策略优先级和生效范围，避免误配导致服务中断。
