微服务之间到底该怎么互相证明“我是谁、我能干什么”？本文借 AWS STS 的思路，拆开临时凭证的门道，对比 JWT+OIDC 与 AWS 式 AssumeRole 两条路线，并给出可以直接跑起来的最小实现。

很多人以为限流就是"每秒放 100 个请求"，配个数字完事。真上了规模才发现，限流是分层的、分策略的、还得跟业务谈判的。这篇把限流拆成"在哪一层限、按什么维度限、用什么算法、放行还是拒绝、拒了怎么告诉客户端"几件事，配上可抄的配置和一张决策清单。

在微服务与服务网格环境下，最常被利用的往往不是 "高大上" 的零日漏洞，而是权限提升、注入与 SSRF；本文用具体例子说明这三类威胁及应对思路。

详细介绍如何在 Go 微服务中集成 Casbin 实现灵活的访问控制，包括 JWT 认证和基于角色的权限管理