服务网格通过将访问控制能力从应用层下沉到基础设施层，实现细粒度、统一且可配置的安全策略管理。它在不修改业务代码的前提下，为微服务之间的通信提供身份认证、权限校验和流量管控。
基于身份的流量认证
服务网格为每个服务实例分配唯一的工作负载身份（如 SPIFFE ID），所有通信都基于该身份进行双向 TLS（mTLS）认证。只有经过身份验证的服务才能加入网格并相互通信。
自动颁发和轮换证书，确保传输加密 通过 CA（证书机构）集成实现跨集群身份信任 拒绝未授权或身份无效的服务接入请求细粒度的授权策略
借助策略引擎（如 Istio 的 AuthorizationPolicy），管理员可以定义谁能在什么条件下访问哪些服务。规则可基于源身份、目标服务、HTTP 方法、路径、Header 等条件组合。
支持 ALLOW、DENY、CUSTOM 三种操作模式 可在命名空间级别或具体服务上配置策略 例如：只允许 payment-service 调用 billing-service 的 /charge 接口与外部安全系统集成
服务网格能对接企业现有的身份管理系统（如 OAuth2、LDAP、JWT 验证），将用户级身份传递到服务间调用链中，实现端到端的访问控制上下文传递。
入口网关验证 JWT token，并提取主体信息注入请求头 内部服务根据携带的身份上下文执行业务级权限判断 审计日志记录调用者身份与访问行为，满足合规要求基本上就这些。服务网格把访问控制变成声明式配置，提升了安全性与运维效率，同时解耦了应用逻辑与安全机制。关键在于合理设计策略层级并持续监控策略执行效果。
