本文基于 2026-10 抓取到的最新官方文档编写：Istio 1.31.3、Linkerd 2.20、Cilium 1.20.3，以及 Gateway API（GAMMA 自 v1.1 进入 Standard Channel）。重点不是 YAML 大全，而是从架构师视角讲清 Service Mesh 的第一性原理、数据面谱系、控制面协议、身份与策略、性能成本模型、故障学和选型演进。

与《Istio 笔记》的分工：那篇讲 Istio 的安装、配置和排障；这篇讲“为什么这样设计、什么时候该用、代价是什么、如何不把自己搞挂”。

最后更新：2026-10-23

本文基于 Istio 1.31.3（2026-10）官方文档重写，重点讲清原理，再落到安装、流量、安全、可观测性和企业实践。旧笔记写于 Istio 1.9，只覆盖了 Service Mesh 概念和少量组件；1.31 的变化较大：Mixer 早已移除，控制面统一为 istiod，配置 API 以 v1 为主，数据面除了 Envoy Sidecar 还有 Ambient 模式（ztunnel + waypoint），入口治理推荐 Gateway API。

1.31.0 于 2026-08-31 发布，官方支持 Kubernetes 1.32–1.36。1.31 值得注意的变化包括：Ambient 的 Address 变更只推送给受影响的 waypoint（AMBIENT_SCOPED_ADDRESS_PUSHES）、waypoint 加权金丝雀、ServiceEntry 可见性控制、AuthorizationPolicy 支持按信任域匹配、FIPS 140-3 合规策略，以及默认发送不健康 Endpoint 的行为变化。

最后更新：2026-10-23

本文基于 Kubernetes v1.37（当前最新 v1.37.1，维护 1.37/1.36/1.35）官方文档重写，重点讲清控制循环、调度、网络、存储、安全等机制，再落到生产实践。旧笔记停留在 1.17/1.18 时代，Docker 运行时、调度器、Service、证书和多个 API 都已经发生变化，旧内容不再作为操作依据。

最后更新：2026-10-22