概念定义
双向 TLS（mTLS）在标准 TLS 基础上扩展，使客户端与服务器都出示证书并互相验证。服务器照常证明自己身份，客户端也证明自身身份，于是服务器能依据密码学身份而非共享令牌来授权调用方。身份承载在证书主题或 SAN 中，从而支持按服务的策略。它是零信任服务网格与已认证内部 API 的基础。
为什么重要
网络内的令牌可被任何能读到它的东西重放，而证书私钥难以被克隆，并可绑定到工作负载身份。这使 mTLS 成为零信任内部通信的天然机制：无论网络位置如何，每次调用都被认证。它还免去了在服务间分发与轮换共享密钥的运维负担。
工程实践
自动化证书全生命周期——签发、分发与轮换——因为手工轮换正是过期演变成故障的路径。验证证书链与预期身份，绝不能只验证“证书存在”，并为被泄密钥保留一条吊销路径。用 mTLS 承担传输身份，并在其上叠加应用层授权，使身份与权限各司其职、各有独立失效模式。