go服务接入istio无需修改代码，但需三层验证istio-proxy是否真正接管流量：查pod中istio-proxy容器ready状态、看其日志确认监听15001/15006端口、用tcpdump抓包验证流量命中；关键前提是go监听0.0.0.0而非127.0.0.1，service targetport须与实际端口一致，且调用必须使用fqdn。
Go 服务接入 Istio 不需要改业务代码，但绝大多数通信失效问题都出在流量没真正进 istio-proxy——不是注入失败，而是劫持没生效。
怎么确认 istio-proxy 真正接管了流量
看到 kubectl get pod 显示 2/2 只代表容器启动了，不代表 Envoy 在转发。必须分三层验证：
- 查状态：
kubectl describe pod <pod-name></pod-name>中确认istio-proxy容器的Ready是true，且没有CrashLoopBackOff或OOMKilled - 看日志：
kubectl logs <pod-name> -c istio-proxy | grep "started"</pod-name>应输出类似transport: listening on 15001（inbound）和admin: listening on 15090（admin 接口） - 抓包验证（最关键）：
kubectl exec -it <pod-name> -c istio-proxy -- tcpdump -i any port 15001 or port 15006 -c 2</pod-name>，再从另一 Podcurl该服务，必须看到数据包命中15001（入向）或15006（出向）
如果抓不到包，90% 是 Go 服务监听地址或端口配置不对。
Go 服务监听地址和端口的硬坑
Envoy 的 iptables 规则只重定向发往 Pod IP 的流量，127.0.0.1 回环请求完全绕过代理——这是最常被忽略的致命点。
- 必须监听
0.0.0.0:8080，不能写死127.0.0.1:8080；推荐用os.Getenv("PORT")fallback 到"8080" - Kubernetes
Service的targetPort必须与 Go 实际监听端口一致；若 Go 启在8081，而targetPort: 8080，Envoy 会转发失败并返回503 -
livenessProbe和readinessProbe可以放心用http://127.0.0.1:8080/healthz，Istio 显式放行这类探针路径
出向调用连不上其他服务的真相
现象是 http.Get("http://other-svc:8000/api") 报 dial tcp: lookup other-svc on 10.96.0.10:53: no such host 或超时，这不是 DNS 故障，而是流量根本没进 istio-proxy。
- 检查是否启用了命名空间自动注入：
kubectl get namespace default -o jsonpath='{.metadata.labels}'确保有istio-injection=enabled - 确认目标服务
other-svc所在命名空间也开启了注入，否则它的istio-proxy不会监听 inbound 流量 - 调用必须用 Kubernetes FQDN：
other-svc.default.svc.cluster.local，而不是短名other-svc（尤其跨命名空间时） - HTTP 请求头中必须透传 tracing 字段，如
X-Request-ID、X-B3-TraceId，否则 OpenTelemetry 链路会断
VirtualService 和 DestinationRule 配置的关键细节
路由策略写得再漂亮，只要后端服务没通过 DestinationRule 显式声明 subset，VirtualService 的权重或 header 匹配就无效。
-
DestinationRule必须先于VirtualService创建，且host字段要严格匹配 Service 名（如go-service.default.svc.cluster.local） - 定义 subset 时，
labels必须与 Deployment 的 Pod label 完全一致，比如version: v2就不能写成version=v2 - gRPC 调用需在
DestinationRule中显式设置trafficPolicy.portLevelSettings启用 TLS，否则 mTLS 握手失败
真正难的从来不是写 YAML，而是理解每个字段在 iptables、Envoy xDS、K8s DNS 三层之间如何联动；漏掉任意一环，流量就静默丢失。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
