4、微服务安全架构：服务网格（Service Mesh）安全、mTLS双向认证、API网关安全策略、服务间通信加密、分布式链路追踪安全

微服务架构火了这么多年，安全一直是老大难问题。说实话，早期我们做微服务安全，基本靠“信任内网”四个字糊弄过去。直到有一次，我在一个金融客户的POC现场，被对方安全负责人问了一句：“你们服务间的流量，如果被中间人截获了怎么办？”

嗯，那场面，确实有点尴尬。

从那以后，我彻底明白了——微服务安全不能靠“墙”，得靠“锁”。今天我们就来聊聊，怎么用服务网格、mTLS、API网关这些手段，把微服务的安全防线真正扎牢。

4.1 服务网格（Service Mesh）安全：把安全能力下沉到基础设施层

服务网格这个概念，说白了就是“把通信和安全从业务代码里抽出来”。你想想看，传统做法里，每个微服务都得自己处理TLS、认证、鉴权，代码里到处都是安全逻辑，维护起来简直噩梦。

我个人习惯的做法是，用Sidecar代理（比如Istio的Envoy）来接管所有进出流量。这样业务代码只需要关注业务逻辑，安全策略统一在控制面配置。

我在项目中遇到过，有些团队把服务网格当成“银弹”，一股脑全上。结果发现性能损耗不小。这里有个避坑指南：不要对所有流量都做深度安全检查。内部信任域的服务间通信，可以只做mTLS加密，跳过七层策略检查，能省下不少开销。

4.2 mTLS双向认证：不只是单向验证，是“互相验明正身”

传统的TLS，客户端验证服务器证书，保证服务器是真的。但在微服务场景下，服务器也需要知道“你是谁”。这就是mTLS——双向TLS认证。

说白了，就是客户端和服务端各自出示证书，互相验证。谁也别想蒙混过关。

mTLS的典型配置（以Istio为例）：

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: istio-system
spec:
  mtls:
    mode: STRICT  # STRICT强制双向TLS，PERMISSIVE兼容模式

这里有个关键点：STRICT模式会拒绝所有非mTLS流量。在迁移初期，建议先用PERMISSIVE模式，等所有客户端都升级支持mTLS后，再切到STRICT。我当年就是太激进，直接上STRICT，结果一堆老服务连不上，差点回滚。

4.3 API网关安全策略：守住系统的大门

API网关是微服务的“前门”。所有外部流量都得经过它。所以，安全策略必须在这里做足功夫。

我个人习惯在API网关层做以下几件事：

• 身份认证： JWT/OAuth2令牌校验，拒绝未认证请求
• 速率限制： 防止暴力破解和DDoS攻击
• 请求校验： 参数过滤、SQL注入防护、XSS防护
• 黑白名单： IP/路径级别的访问控制

举个例子，在Kong网关中配置JWT认证：

# 启用JWT插件
curl -X POST http://localhost:8001/services/example-service/plugins \
  --data "name=jwt" \
  --data "config.claims_to_verify=exp,nbf"

4.4 服务间通信加密：不仅仅是TLS

服务间通信加密，很多人第一反应就是“上TLS”。没错，TLS是基础。但光有TLS还不够。

你想想看，如果服务A调用服务B，中间经过了消息队列或者缓存层，这些中间件本身是否加密？我在项目中遇到过，服务间TLS做得很好，但Redis和Kafka的通信是明文的。结果被安全扫描一查，直接亮红灯。

所以，服务间通信加密要覆盖全链路：

• HTTP/gRPC： 使用mTLS加密
• 消息队列： Kafka/RabbitMQ启用SSL/TLS
• 缓存层： Redis启用TLS
• 数据库： 数据库连接使用SSL

说白了，就是“所有网络通信，一律加密”。不要相信任何“内网安全”的借口。

4.5 分布式链路追踪安全：别让追踪数据成为泄密通道

分布式链路追踪（比如Jaeger、Zipkin）能帮我们快速定位问题。但很多人忽略了它的安全风险。

追踪数据里包含了什么？请求路径、参数、响应状态、甚至部分业务数据。如果这些数据被泄露，等于把系统架构和业务逻辑拱手送人。

我建议的做法：

• 数据脱敏： 在追踪数据中，对敏感字段（如密码、令牌、身份证号）进行脱敏或直接丢弃
• 访问控制： 追踪系统本身要加认证，不能谁都能查
• 传输加密： 追踪数据从Agent到Collector，必须走TLS
• 存储加密： 追踪数据落盘要加密，防止存储泄露

4.6 知识体系总览

下面这张图，是我梳理的微服务安全架构核心逻辑。你可以把它当作一个检查清单，看看自己的系统覆盖了哪些。

这张图里，我把微服务安全分成了三大块：服务网格安全、API网关安全、链路追踪安全。每一块下面都有具体的落地措施。你对照着看看，自己的系统在哪些地方还有缺口？

好了，这一章的内容就到这里。下一章我们会深入聊聊容器和Kubernetes环境下的安全实践，那又是一个大坑，到时候再细说。