本文介绍Envoy Gateway v1.9.0的TLS与SDS机制。核心内容：Gateway listener终止客户端TLS，BackendTLSPolicy管理到后端的上游TLS，两者使用不同证书。v1.9破坏性变更包括：SDS URL必须带unix://前缀，系统CA改为共享system_ca_certificates secret，旧EnvoyPatchPolicy匹配的secret/cluster名失效。升级前需检查patch配置，避免静默失配。