生产环境换 Gateway API：别把 TLS 证书搞崩

📋 概述

Ingress NGINX 已进入维护模式，GatewayClass、Gateway、HTTPRoute 也都 GA 了，下一次集群升级是个不错的迁移理由。但「换掉 ingress controller」这句话藏着一堆风险：TLS 监听里一个拼写错误，生产环境所有浏览器都会看到证书错误。作者给出的策略是不做大爆炸式切换——让 Gateway API 与旧的 Ingress NGINX 并存，一次只搬一个主机名，按权重慢慢切流，每一步都验证证书链。控制器用 Envoy Gateway，证书交给 cert-manager，但这套模式对任何符合规范的实现都适用。文章把三个对象的分工讲得很清楚：集群级 GatewayClass 归平台团队，Gateway 是监听器放在基础设施命名空间，HTTPRoute 归应用团队放在自己的命名空间，跨命名空间的引用必须由 ReferenceGrant 显式放行。