2026年8月31日，Istio项目发布1.31.0版本。本次发布由Red Hat的Jacek Ewertowski、Microsoft的Jackson Greer与Tetrate的Jianpeng He共同担任Release Manager，正式支持Kubernetes 1.32至1.36。版本在Agent Gateway集成、流量管理、Ambient模式、安全与可观测性等方面带来一批更新，并宣布逐步退役GCP托管产物。本文从云原生基础设施视角解读Istio 1.31.0的要点。
Agent Gateway作为Waypoint：服务网格与Agent网关融合
基于1.30中实验性的网关支持，Istio 1.31新增istio-agentgateway-waypoint GatewayClass，可将Agent Gateway部署为Waypoint代理，并修复了ListenerSet处理与mTLS连通性等问题。同时，Istio实现了Gateway API的AllowInsecureFallback特性：网关请求并尝试校验客户端证书，但在未提供证书或校验失败时仍允许连接，并通过x-forwarded-client-cert头供后端自行核验。
流量管理：区域感知负载均衡与网格级默认策略
1.31.0新增zoneAwareLbSetting字段，让Envoy自动把流量路由到与下游代理同一可用区的端点，仅在本地容量不足时才跨区域溢出，与基于静态百分比的localityLbSetting形成互补。MeshConfig新增defaultTrafficPolicy，可为所有出站集群设定connectionPool与outlierDetection基线，未显式设置的字段将继承网格基线。此外，新的ALLOW_ANY_DYNAMIC_DNS出站模式可基于HTTP Host头动态解析外部主机，减少ServiceEntry的维护量。
Ambient模式与多集群稳定性
Ambient模式新增加权Waypoint金丝雀发布：通过istio.io/use-waypoint-canary等标签与权重注解，可把部分网格内连接按比例导流到金丝雀Waypoint，实现配置变更的渐进式灰度。多集群场景下，本版本修复了凭证轮换导致的快照过期与端点分片丢失、多集群内存与goroutine泄漏，以及CNI节点代理的并发map写入panic、文件描述符泄漏与Pod删除死锁等问题。
安全与可观测性增强
安全方面，新增fips-140-3合规策略（强制TLS 1.2+与FIPS合规密码套件），AuthorizationPolicy的Source新增trustDomains/notTrustDomains信任域匹配，并默认启用严格Gateway合并与XDS配置服务端的控制面身份校验。可观测性方面，新增多目标Prometheus抓取注解、mTLS保护的指标端口，Kiali附加组件更新至v2.26.0，ztunnel支持基于CPU限制的worker线程配置。
GCP托管产物迁移与升级提示
自1.31起，Istio不再向gcr.io/istio-release等GCP地址发布产物：镜像继续通过Docker Hub提供，Helm Chart迁移到blob.istio.io，OCI Chart迁移到ghcr.io。项目安排了多次“尖叫测试”（scream test）窗口（9月15日、10月13日、11月17日与12月8日起）用于验证迁移，建议用户提前核对镜像拉取与Chart获取路径，并关注官方升级说明。
小结
Istio 1.31.0以Agent Gateway集成、区域感知负载均衡、网格级默认策略与FIPS 140-3合规能力为主要亮点，同时推进GCP托管产物的迁移，是2026年8月末云原生服务网格领域的重要版本更新，值得服务网格与云原生基础设施团队规划升级验证。