Linkerd 是最轻量、最省资源的生产级服务网格，适合 Go 微服务；需监听 0.0.0.0:$PORT、统一由 Linkerd 管理重试超时、显式启用自动注入、暴露标准协议以发挥其 mTLS、可观测性与流量治理能力。
Linkerd 是目前最轻量、最省资源的生产级 Service Mesh，尤其适合 Go 微服务——它不抢你代码控制权，但能自动提供 mTLS、重试、超时、指标和分布式追踪。关键不是“能不能集成”，而是“怎么避免踩坑让 Go 服务真正被 mesh 住”。
Go 服务必须监听 0.0.0.0:$PORT，否则 Linkerd 拦截失效
Linkerd-proxy（Rust 编写）靠 iptables/eBPF 拦截进出 Pod 的流量，但它只对明确暴露在 0.0.0.0 上的端口生效。监听 127.0.0.1:8080 或用 :0 绑定随机端口，sidecar 就收不到请求，直接返回 503 Service Unavailable。
- 启动时硬编码绑定：
http.ListenAndServe("0.0.0.0:"+os.Getenv("PORT"), router) -
$PORT必须与 Deployment 中 container port、Service 的targetPort完全一致 - 健康检查路径（如
/healthz）必须由 Go 服务自己响应，不能只依赖 kube-probe —— Linkerd 的 readiness 探针会走 sidecar，若后端未就绪，探针失败 - 避免
panic或os.Exit(1)后未关闭 listener，否则 sidecar 可能持续转发到已关闭 socket，触发 Linkerd 的 outlier detection 误熔断
禁用 Go 客户端内置重试/超时，把策略交给 Linkerd 配置
Linkerd 已在数据面统一处理重试、超时、熔断。你在 Go 里再加一层 context.WithTimeout 或 gRPC WithTimeout，会导致语义叠加：比如 Linkerd 配了 2 次重试 + 1s 超时，而客户端又设了 5s context，最终请求卡在 client 端，绕过 Linkerd 的指标统计和熔断判定。
- HTTP 客户端用最简配置：
http.DefaultClient，不要自定义Transport或设置Timeout - gRPC 客户端用
grpc.Dial(..., grpc.WithTransportCredentials(insecure.NewCredentials()))，不加WithTimeout、WithRetry或拦截器 - 所有可靠性策略统一写进 Linkerd 的
ServiceProfile或DestinationRule（Linkerd v2.11+ 支持基于路由的 per-route retry） - 若业务强依赖幂等性，可在请求头加
Idempotency-Key，并在 Linkerd 的 retry policy 中配置retryOn: "5xx,gateway-error"，避免重复提交
启用自动注入前，先确认命名空间打了 linkerd.io/inject: enabled
Linkerd 默认不自动注入 sidecar，必须显式标记命名空间或 Pod。漏掉这个 annotation，整个 Deployment 就只是裸 Go 服务，毫无 mesh 能力。
立即学习“go语言免费学习笔记（深入）”；
- 给命名空间打标：
kubectl label namespace default linkerd.io/inject=enabled - 验证注入是否生效：
kubectl get pod -o wide看 Pod 是否有两个容器（你的 app +linkerd-proxy） - 若 Pod 已运行再打标，需重启：
kubectl rollout restart deploy/your-go-app - 想跳过某 Pod？加 annotation：
linkerd.io/inject: disabled，比如 job 或 debug 容器 - 检查注入状态：
linkerd stat deploy，若显示no data，大概率是没注入或端口没暴露
Linkerd 的可观测性依赖 Go 服务暴露标准 HTTP/gRPC 协议
Linkerd 自动采集指标、生成拓扑图、注入 trace header，但前提是流量走的是它识别的协议（HTTP/1.1、HTTP/2、gRPC）。如果你的 Go 服务用自定义 TCP 协议或 WebSocket 长连接做核心通信，Linkerd 只能代理，无法提供路由级指标或重试。
- 内部服务间调用优先用 HTTP 或 gRPC，别用 raw TCP socket
- gRPC 服务确保用
grpc-gov1.3+，旧版本存在 header 透传 bug，导致 Linkerd 的l5d-dst-override失效 - HTTP 服务返回标准 status code（如 4xx/5xx），Linkerd 的 failure rate 计算才准确；别用 200 + body.code = "error"
- 想看链路追踪？Go 服务要透传
b3或w3ctrace header，Linkerd 默认开启，无需额外 SDK
Linkerd 的“低耗”不是靠阉割功能换来的，而是靠 Rust proxy + 极简控制平面实现的。真正难的不是装上它，而是让 Go 服务彻底交出网络治理权——不监听错端口、不重复加超时、不绕过协议栈。这些地方一松懈，Linkerd 就退化成一个昂贵的透明代理。
