本文介绍Cilium策略编译机制：从声明式策略经解析、选择器蒸馏为数字Identity，最终生成per-endpoint BPF策略map。重点分析default-deny按方向切入的时序窗口、Identity分配与传播延迟、ClusterMesh同步滞后等故障场景，并讨论L7代理重定向、实体规则及排障归因方法。