HTTP流量转HTTPS：采用Envoy代理实现微服务无代码升级是否可行？

你提出的Envoy双边车流量代理方案完全匹配你的核心诉求，是当前场景下的最优实现方案。

方案核心优势 #

• 零代码侵入：全程不需要修改任何Spring Boot业务代码、应用配置，仅通过流量劫持和边车代理完成HTTP到HTTPS的转换，业务侧完全无感知。
• 通用性强：方案不绑定Spring Boot版本、不绑定开发语言，所有HTTP服务都可以复用这套逻辑，平滑扩展到全量微服务没有任何障碍。
• 开销可控：Envoy本身是C++实现的高性能代理，单实例转发延迟通常在1ms以内，TLS加密的性能开销比应用层原生实现HTTPS更低，完全满足低开销要求。
• 扩展能力强：后续如果需要落地mTLS双向认证、流量灰度、限流熔断、链路追踪等能力，直接调整Envoy配置即可，不需要改造业务逻辑。

落地优化建议 #

• 流量劫持层面优先用透明代理方案：K8s环境可以通过iptables规则把同Pod的所有出站HTTP流量自动转发到本地Envoy，物理机/虚拟机环境也可以用相同的iptables规则实现，不需要修改业务服务的代理配置，进一步降低改造成本。
• 证书运维可以和内部CA整合：统一用内部CA签发边车的TLS证书，配置自动更新机制，避免手动维护证书带来的运维风险。
• 如果当前已经在使用Istio这类基于Envoy的服务网格，直接开启服务间TLS加密的原生能力即可，不需要自行配置Envoy规则，落地效率更高。

内容的提问来源于stack exchange，提问作者Skywalker