分类：网络架构与安全

令牌桶允许短时突发流量，适合面向用户的开放 API；漏桶以恒定速率放行，适合保护脆弱的下游存储。网关层通常组合使用以实现分层防护。 !令牌桶算法 一、Redis + Lua 实现原子令牌桶

gRPC 基于 HTTP/2 多路复用传输 Protobuf 消息，默认不加密。生产环境必须启用 mTLS 双向证书认证，并通过 Unary/Stream 拦截器在服务端统一校验 JWT 或 SPIFFE 身份，避免在每个 RPC 方法中重复鉴权逻辑。 一、Go gRPC 服务端 mTLS 与鉴权拦截器

mTLS 仅证明“谁在连接”，无法约束“能调用哪些方法”。在 gRPC 中应结合 Interceptor 做方法级 RBAC，并对关键消息体施加签名防止中间人篡改。 !gRPC 通信架构 一、Go 服务端方法级鉴权拦截器

限流是保护后端服务免受突发流量与恶意刷接口的核心手段。令牌桶（Token Bucket）允许一定程度的突发流量，适合面向用户的 API；滑动窗口（Sliding Window）统计更精确，适合严格配额场景。 一、Redis + Lua 实现分布式滑动窗口限流

在零信任网络（Zero Trust）理念中，“默认不信任，始终验证”。工作负载间通过 SPIFFE ID（如 spiffe://domain/ns/prod/sa/payment）确立身份，并使用短生命周期的 X.509 SVID 证书完成 mTLS（双向 TLS） 加密通信。 一、SPIFFE ID 证书主体备用名称