istio sidecar自动注入需满足命名空间标签、kubernetes准入控制器启用等前提，且go服务必须监听0.0.0.0而非127.0.0.1，service targetport须与实际端口一致，并使用fqdn调用，否则流量绕过istio-proxy。
Go 微服务接入 Istio 不需要改一行业务代码，但 90% 的失败都卡在部署和配置环节——不是没注入 sidecar，而是流量压根没进 istio-proxy。
确认命名空间已启用自动注入
istio-proxy 不会自己跳进你的 Pod，得靠 Kubernetes 准入控制器触发注入。手动加注解容易漏，推荐用命名空间标签统一控制：
- 执行
kubectl label namespace default istio-injection=enabled（替换default为你实际命名空间） - 检查是否生效：
kubectl get namespace default -o jsonpath='{.metadata.labels}'，输出里必须含istio-injection: enabled - 已有 Pod 不会自动重注入，需删掉重建；新部署的 Deployment 才会带
istio-proxy容器 - 如果用
istioctl install部署 Istio，默认 profile 不开自动注入，得显式加--set values.sidecarInjectorWebhook.enabled=true
Go 服务监听地址和端口必须匹配 iptables 劫持规则
Envoy 的 iptables 规则只重定向发往 Pod IP 的流量，127.0.0.1 请求完全绕过代理——这是最常导致“明明有 sidecar 却没流量”的根本原因。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- Go 代码里必须用
http.ListenAndServe("0.0.0.0:8080", handler)，禁用"127.0.0.1:8080" - 推荐从环境变量读端口：
port := os.Getenv("PORT")，fallback 到"8080" - Kubernetes
Service的targetPort必须与 Go 实际监听端口一致；若 Go 启在8081，而targetPort: 8080，Envoy 转发失败返回503 -
livenessProbe和readinessProbe可放心用http://127.0.0.1:8080/healthz，Istio 显式放行这类探针路径
验证 istio-proxy 是否真正接管流量
看到 kubectl get pod 显示 2/2 只代表容器启动了，不代表 Envoy 在转发。必须分三层验证：
- 查状态：
kubectl describe pod <pod-name></pod-name>中确认istio-proxy容器Ready是true，且无CrashLoopBackOff或OOMKilled - 看日志：
kubectl logs <pod-name> -c istio-proxy | grep "started"</pod-name>应输出类似transport: listening on 15001（inbound）和admin: listening on 15090 - 抓包验证（最关键）：
kubectl exec -it <pod-name> -c istio-proxy -- tcpdump -i any port 15001 or port 15006 -c 2</pod-name>，再从另一 Podcurl该服务，必须看到数据包命中15001（入向）或15006（出向）
出向调用失败时优先检查 FQDN 和目标服务注入状态
现象是 http.Get("http://other-svc:8000/api") 报 dial tcp: lookup other-svc on 10.96.0.10:53: no such host 或超时，本质是流量没进 istio-proxy，而非 DNS 故障。
- 调用必须用 Kubernetes FQDN：
other-svc.default.svc.cluster.local，短名other-svc在跨命名空间或某些 DNS 策略下会失败 - 目标服务
other-svc所在命名空间也必须开启istio-injection=enabled，否则它的istio-proxy不监听 inbound 流量 - HTTP 请求头中必须透传 tracing 字段，如
X-Request-ID、X-B3-TraceId，否则 OpenTelemetry 链路会断 - gRPC 服务必须实现
grpc.UnaryInterceptor，否则 Istio 无法识别方法名，所有调用在 Kiali 里显示为unknown
最容易被忽略的复杂点是：Envoy 的流量劫持依赖于精确的网络栈匹配——监听地址、Service targetPort、FQDN、DNS 解析策略、甚至内核 conntrack 表状态，任何一环错位都会让流量静默绕过代理。调试时别急着改代码，先用 tcpdump 确认包到底去了哪。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
