服务网格通过在每个服务实例旁部署轻量级代理（即数据平面），将通信逻辑与业务逻辑解耦，从而实现微服务间的安全通信。控制平面统一管理这些代理，确保所有服务间交互符合安全策略。其核心在于透明地提供加密、身份认证和访问控制，无需修改应用代码。
自动双向 TLS 加密
服务网格默认启用 mTLS（双向 TLS），确保服务间通信全程加密。每个服务代理自动验证对方身份证书，防止中间人攻击。
控制平面（如 Istio 的 Citadel）为每个服务颁发短期证书 代理在建立连接时自动完成证书交换与验证 流量在传输层加密，即使在同一网络内也无法被窃听基于身份的细粒度访问控制
服务身份取代传统 IP 或端口作为访问判断依据，提升权限管理精度。
每个服务拥有唯一身份（如 spiffe://example.com/ns/prod/svc/cart） 通过策略规则定义“哪些服务可调用特定接口” 例如：订单服务允许支付服务调用，但拒绝日志服务访问透明的安全策略执行
安全策略由控制平面下发，数据平面代理自动执行，对应用无侵入。
可配置拒绝未认证请求、限制调用频率、启用审计日志 支持基于标签或环境动态调整策略（如测试环境宽松，生产环境严格） 异常行为（如频繁失败调用）可触发自动告警或熔断基本上就这些。服务网格把安全机制下沉到基础设施层，让开发者专注业务逻辑，同时运维团队能集中管控整个系统的通信安全。只要配置得当，就能实现零信任网络的基本要求。不复杂但容易忽略的是证书轮换和策略冲突检查，需要定期维护。
