SPIRE不是开箱即用组件，必须与Go服务生命周期、Kubernetes调度及Workload API路径对齐，否则mTLS因无法访问agent.sock而静默失败；需确保同命名空间、正确挂载socket、权限匹配，并用spiffe-go库安全获取和轮换SVID，严格校验SPIFFE ID与信任域一致性。
直接上结论：SPIRE 不是“部署完就跑”的组件，它必须和你的 Go 服务生命周期、Kubernetes 调度策略、以及 Workload API 访问路径对齐；否则 spiffe:// 身份根本拿不到，mTLS 握手会在 connect: connection refused 或 failed to dial workload api: dial unix /run/spire/sockets/agent.sock: connect: no such file or directory 处静默失败。
确保 SPIRE Agent 在 Pod 内可访问 Workload API
SPIRE Agent 默认通过 Unix socket（/run/spire/sockets/agent.sock）暴露 Workload API。Go 服务要调用它，必须满足两个硬性条件：
- Agent 必须与 Go 应用运行在同一个 Linux 命名空间（即同 Pod、同容器或通过
shareProcessNamespace: true共享） - Socket 文件路径必须挂载进 Go 容器，且权限为
0600、属主为 Go 进程 UID（非 root 时尤其关键） - 若使用 sidecar 模式（推荐），需显式在 Deployment 中定义
volumeMounts和volumes，不能只依赖 Helm chart 默认值
常见错误：Helm 安装后 Agent 正常运行，但 Go 服务日志里反复报 dial unix /run/spire/sockets/agent.sock: connect: permission denied —— 实际是 socket 文件属主为 spire 用户（UID 1001），而 Go 容器以非特权用户（如 UID 1001 以外）启动，导致无权读取。解决方法是在容器 securityContext.runAsUser 显式设为 1001，或改用 initContainer 修复 socket 权限。
Go 服务初始化时正确调用 Workload API 获取 SVID
不要自己写 HTTP client 去轮询 socket；必须用官方 spiffe/go-spiffe/v2 库的 workloadapi.NewClient。它会自动处理重连、证书刷新、上下文取消等细节。
立即学习“go语言免费学习笔记（深入）”；
- 初始化必须带超时：
ctx, cancel := context.WithTimeout(context.Background(), 5*time.Second)，否则首次启动卡住 30 秒以上是常态 -
client.FetchX509SVID返回的*x509.CertPool是 CA bundle，不是你自己的证书；你自己的 SVID 私钥和证书链在X509SVID.Svid和X509SVID.Key字段里 - 别把
X509SVID.Key直接传给crypto/tls.X509KeyPair—— 它是*ecdsa.PrivateKey或*rsa.PrivateKey，需先调用x509.MarshalPKCS8PrivateKey编码为 PEM - 证书有效期默认仅 1 小时，务必启用自动轮换：用
client.WatchX509SVID+ goroutine 持续监听变更，否则服务跑半天就因证书过期被对端拒绝
配置 TLS 时验证对端 SPIFFE ID 而非通用 CN
Go 的 tls.Config.VerifyPeerCertificate 是唯一可靠位置。别信 tls.Config.ClientAuth == tls.RequireAndVerifyClientCert 就够了 —— 它只校验证书链，不校验身份语义。
- 必须解析对端证书的 URI SAN：
spiffeID, err := spiffe.ParseURI(sans[0])，其中sans来自cert.URIs - 拒绝任何不以你信任域开头的 ID，例如只接受
spiffe://example.org/ns/default/sa/my-app，而拒掉spiffe://evil.com/... - 切勿 fallback 到
cert.Subject.CommonName—— SPIFFE 规范明确要求忽略 CN 字段，CN 是历史包袱，不可信 - 若用 gRPC，需额外设置
credentials.NewTLS并传入该tls.Config；HTTP server 则直接在http.Server.TLSConfig中配置
最易被忽略的一点：SPIRE Server 的 trust domain 名称（如 example.org）必须与所有 Go 服务代码里硬编码的校验逻辑、Kubernetes ServiceAccount selector 中的 spiffe.io/trust-domain 标签、以及 OPA 策略中引用的字符串完全一致——差一个字符，整个零信任链就断在第一跳。
