流量入口与 Gateway

组件职责

• 反向代理：代表后端接收请求，处理 TLS、路由、压缩和访问日志。
• 负载均衡器：在多个健康实例间分配连接或请求。
• Kubernetes Service：提供集群内稳定虚拟入口。
• Ingress：用较简洁的 HTTP/HTTPS 规则暴露服务。
• Gateway API：将基础设施所有者、集群运维和应用团队的配置职责拆分，并支持更丰富路由模型。

生产配置

• TLS 版本、证书来源、续期和到期告警必须明确。
• 连接、请求、空闲和上游超时应逐层协调。
• 仅对幂等请求谨慎重试，并限制次数，避免放大故障。
• 传递并校验 X-Forwarded-* 或标准 Forwarded 信息，只信任已知代理。
• 配置请求体上限、速率限制和必要的安全响应头。
• 访问日志关联 Trace ID，并对敏感参数和 Header 脱敏。

发布流量

蓝绿和金丝雀发布可通过服务选择器、权重路由或专用发布控制器实现。流量扩大必须绑定错误率、延迟和业务成功率，而不是只等待固定时间。