本文介绍Istio 1.30.3中四类xDS客户端（Sidecar、Router、Waypoint、Ztunnel）的身份与订阅机制。身份分两层：节点ID是自述，仅认证后的SPIFFE身份可信。订阅范围由类型URL决定，标准Envoy请求LDS/CDS等，Ztunnel请求自定义Address类型，两者生成器路径不相交。NodeType影响推送判定而非订阅权限。Ztunnel用Rust实现，资源占用更优，但需独立维护生成器。