原生Kubernetes Dashboard功能受限且不可定制：不支持业务聚合、自定义指标、内部权限对接；API字段不统一；升级易崩；RBAC固化；需额外服务实现监控等能力。
为什么直接用 kubectl proxy + 原生 Dashboard 不够用
原生 Kubernetes Dashboard 本质是 RBAC 控制下的静态前端，不支持按业务维度聚合资源、无法嵌入自定义指标图表、也不能对接内部权限系统。你改不了它的路由、API 调用方式和数据结构，所有“定制化”都卡在 iframe 嵌入或反向代理层，一升级就挂。
- 它只认
system:serviceaccount:kubernetes-dashboard:admin-user这类固定 SA，没法对接公司 LDAP/OAuth2 - 所有资源列表走的是
/api/v1/...这套 API，但返回字段不一致（比如Pod有status.phase，Deployment却要查status.conditions），前端得写一堆 case 处理 - 你想加个「近一小时 CPU 使用率 Top5 Pod」？得自己起一个 Metrics Server 查询服务，再暴露新接口——而原生 Dashboard 根本不认你的 endpoint
用 Go 写后端 API 时怎么安全地代理 K8s REST 请求
别手写 HTTP 客户端去拼 URL 和 header。K8s client-go 的 RestClient 自带认证透传、重试、超时、gzip 解压，还能自动处理 401 后的 token 刷新（如果你用 ServiceAccount Token）。
- 初始化时用
rest.InClusterConfig()（Pod 内运行）或clientcmd.BuildConfigFromFlags()（本地调试），不要硬编码https://k8s-api.example.com - 对用户传来的 namespace 做白名单校验，比如只允许访问
default、staging、prod-*，防止路径遍历：/api/v1/namespaces/../secrets - 用
clientset.CoreV1().Pods(ns).List(ctx, opts)而不是http.Get(...)，前者会自动带上当前 SA 的 bearer token，并遵守集群 RBAC 规则 - 注意
LimitRange、ResourceQuota这类非命名空间资源，必须传空字符串""作为 namespace 参数，否则 client-go 报namespaces "" is forbidden
前端如何拿到实时 Pod 日志又不崩掉浏览器
用 WebSocket 直连 /api/v1/namespaces/{ns}/pods/{name}/log?follow=true 是错的——K8s API Server 不支持 WebSocket，这个 endpoint 只接受 long-polling 的 chunked transfer encoding。浏览器用 EventSource 最稳。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- Go 后端别用
http.Flusher手动 flush，改用io.Copy直接把resp.Body流式转发给http.ResponseWriter，否则日志行会卡住几秒才出来 - 前端
EventSource要监听error事件并主动重连，因为 K8s 日志流超时默认是 60 秒，断连后不会自动续传 - 加个
?tailLines=100参数，不然首次加载可能拉几十万行日志，前端直接 OOM；真正需要历史更多行时，再发第二个带sinceTime的请求 - 别在 URL 里暴露 pod uid 或 node ip，用短 hash 映射（如
pod_abc123→uid: 7f8a9b...），防止枚举攻击
部署时最容易被忽略的 RBAC 权限点
你写的 Go 服务跑在 Pod 里，它用的 ServiceAccount 往往只有 get/list/watch，但实际需要更多——尤其当你要做「一键 exec 进容器」或「查看 PVC 使用量」这种操作时。
立即学习“go语言免费学习笔记（深入）”；
-
exec需要selfsubjectaccessreviews权限来校验用户是否有权进入该 Pod，否则前端点按钮没反应，日志只报Forbidden: User "system:serviceaccount:mydash:default" cannot create selfsubjectaccessreviews at the cluster scope - 查 PVC 实际使用量要调
metrics.k8s.io/v1beta1，这属于独立 API 组，得单独给clusterrole加resources: ["pods"] verbs: ["get"]，不是 core/v1 就能覆盖 - 如果用了 Istio 或其他 CRD（如
VirtualService），记得在ClusterRole里显式加上apiGroups: ["networking.istio.io"]，否则clientset.Istio().VirtualServices(ns).List()永远返回空 - 别把所有权限绑给
defaultSA，新建一个dashboard-readerSA，用RoleBinding限定 namespace，避免横向越权
真正麻烦的从来不是写代码，而是搞清哪一行 clientset 调用背后对应哪个 RBAC verb、哪个 API group、要不要加 subresource —— 查错时翻 kubectl auth can-i --list 比看文档快。
