envoy边车代理必须用静态配置启动，因其启动时即锁定监听端口、路由规则和上游集群，运行时修改envoy.yaml不生效；配置错误或路径不对会导致启动失败却无明确报错，实操需用--dry-run验证合法性，并确保static_resources完整定义listeners和clusters。
Envoy边车代理为什么必须用静态配置启动
Envoy在Golang微服务中作为边车（sidecar），不能靠运行时热加载配置——它启动时就锁死监听端口、路由规则和上游集群，后续改envoy.yaml不生效。你看到服务注册成功但流量不通，大概率是envoy进程根本没读到你改过的配置，或者配置语法有误导致启动失败却没报错。
实操建议：
- 用
envoy --config-path ./envoy.yaml --log-level info启动，加--dry-run验证配置合法性（不真正监听） - 确保
envoy.yaml里static_resources完整定义了listeners和clusters，动态配置（如xDS）在边车场景反而增加复杂度和故障点 - 检查
address字段：Golang服务通常监听127.0.0.1:8080，Envoy的cluster里hosts必须写成socket_address: { address: 127.0.0.1, port_value: 8080 }，写localhost可能因DNS解析失败静默丢包
如何让Golang服务只暴露给Envoy而不对外网开放
边车模型的核心是“服务只对localhost通信”，否则旁路拦截失效。Golang服务若监听:8080或0.0.0.0:8080，外部请求能绕过Envoy直连，熔断、限流、TLS终止全失效。
实操建议：
- Golang启动时明确绑定
127.0.0.1:8080，别用http.ListenAndServe(":8080", handler) - Envoy的
listener需监听0.0.0.0:80（对外入口），再通过route把请求转发到127.0.0.1:8080 - 在Kubernetes中用
pod.spec.hostNetwork: false+initContainer校验端口占用，避免Golang服务意外绑定到0.0.0.0
Envoy配置里哪些字段直接影响Golang HTTP/1.1和gRPC互通
Go默认用HTTP/1.1，但gRPC over HTTP/2要求Envoy显式启用协议升级。配置漏掉关键字段会导致gRPC调用卡在Connecting状态，或返回426 Upgrade Required。
实操建议：
- HTTP/1.1服务：确保
http_protocol_options下没误配alpn_protocols，否则Envoy会拒绝非h2连接 - gRPC服务：在
listener的filter_chains里加transport_socket: { name: "envoy.transport_sockets.tls" }，并在http_connection_manager中设http2_protocol_options: {} - 上游集群（
cluster）必须设http2_protocol_options: {}，否则Envoy到Go gRPC server走不了HTTP/2 - Go客户端若用
grpc.WithTransportCredentials(insecure.NewCredentials())，Envoy的cluster里tls_context必须留空，否则握手失败
如何验证Envoy是否真正在转发Golang服务的请求
日志里看到upstream connect successful不代表业务请求通了——可能是健康检查通过，但实际路由匹配失败，请求被404或503静默拦截。
实操建议：
- 开Envoy访问日志：
access_log: [{ name: envoy.access_loggers.file, config: { path: "/dev/stdout" } }]，观察response_code和upstream_host - 用
curl -v http://localhost:80/health测试，看响应头是否有x-envoy-upstream-service-time，没有说明没走Envoy - 查Envoy管理接口：
curl http://127.0.0.1:9901/config_dump确认dynamic_route_configs里有你定义的路由，且virtual_hosts的domains匹配请求Host - Go服务加个
/debug/requestsendpoint，对比直接curl和经Envoy curl的请求计数，差值就是拦截漏斗位置
最常被忽略的是route里的prefix匹配和cluster名称拼写——Envoy不报错，只返回503 UH（Upstream Health），得盯住upstream_canary和upstream_rq_pending_total指标才能定位。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
