Appearance
服务网格：Sidecar 模式的收益与运维代价
修订于 2026-10-12。本文不沿用未经验证的开销比例。
服务网格把服务间通信的一部分能力放到独立的数据面，例如流量策略、身份、加密与遥测。它可以让不同语言的服务使用相近的基础能力，但仍需要平台团队管理配置、证书、代理升级和故障排查。
以 Istio 为例，Sidecar 模式在工作负载旁运行 Envoy 代理；Ambient 模式使用节点级代理，并可按需加入更高层的代理。不能再断言“服务网格必然为每个 Pod 注入 Sidecar”。部署模式影响资源使用、能力覆盖与故障范围，应按当前官方文档核对。
引入前的判断
- 哪些问题是应用库或入口网关无法稳定解决的？
- 服务间身份和授权策略由谁维护、审计和回滚？
- 代理加入数据路径后，延迟与资源开销是否可接受？
- 控制面或证书服务异常时，既有流量与新流量各会怎样？
- 是否有足够的监控和经验定位应用、代理、网络之间的问题？
从少量服务开始，保留可撤回路径。功能上线后仍要在应用层落实业务授权和幂等，不能把网格当成业务安全的全部。