mTLS（双向TLS）使通信双方互相验证身份，解决微服务中“调用方是谁”的问题。其工程难点在于证书分发与轮换，而非协议本身。最佳实践是短期证书加自动轮换，并借助Service Mesh（如Istio、Linkerd）实现透明化。SPIFFE/SPIRE提供标准化服务身份。部署时应从PERMISSIVE模式渐进迁移至STRICT，并区分认证与授权。