operator-sdk init 卡在 k8s.io/api v0.28.0 是因国内无法直连 proxy.golang.org，需配置 GOPROXY=https://goproxy.cn,direct、清理 go.sum/vendor 并重试；若仍失败则手动降级 go.mod 中 k8s 依赖版本。
operator-sdk init 为什么总卡在 k8s.io/api v0.28.0 拉取失败
因为 operator-sdk 默认用 Go module + proxy 拉 Kubernetes 官方依赖，而国内直连 proxy.golang.org 常超时或返回 403。这不是你项目写错了，是环境没绕过 GCR 和 k8s.io 的墙。
- 先执行
go env -w GOPROXY=https://goproxy.cn,direct（别漏掉direct，否则私有模块会失败） - 删掉项目根目录下的
go.sum和vendor/（如果存在），再重试operator-sdk init - 若仍失败，手动改
go.mod：把k8s.io/api、k8s.io/apimachinery等行的版本从v0.28.0改成你集群实际版本（比如v0.27.6），再go mod tidy
Reconcile 函数里 client.Get 和 client.List 返回 NotFound 却查得到资源
Operator 默认只 watch 自己 CRD 所在命名空间（Namespaced scope），但 client.Get 或 client.List 如果没显式指定 client.InNamespace，就会默认查当前 manager 启动时设置的 namespace（通常是 default 或空字符串），导致跨命名空间查不到。
- 确认你的 CR 是 Cluster-scoped 还是 Namespaced-scoped —— 在
config/crd/bases/xxx.yaml里看scope: Cluster还是scope: Namespaced - 如果是 Namespaced CR，在 Reconcile 中查关联资源时，必须传
client.InNamespace(req.Namespace)，例如：r.Client.Get(ctx, key, &pod, client.InNamespace(req.Namespace)) - 查 Cluster-scoped 资源（如
Node、Namespace）则不能加InNamespace，否则 panic
更新 Status 字段时出现 Operation cannot be fulfilled 错误
这是典型的乐观锁冲突：你在 Reconcile 中读出对象，改了 Status，再调用 Update，但期间其他组件（包括你自己的 Operator）也更新了它，导致 resourceVersion 不匹配。
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 永远不要对
Status用Update，必须用Status().Update()—— 它绕过 spec 校验，且只比对 status resourceVersion - 如果 Status 更新失败，直接 return error 触发重入；不要重试 sleep，K8s controller-runtime 本身有指数退避
- 注意：Status 子字段必须可序列化，避免嵌套指针或函数类型；否则
Status().Update()会静默失败
本地调试 operator 时 webhook 不生效
webhook（如 validating/mutating）默认只在生产部署时启用，make install 和 make deploy 会部署证书、Service、ValidatingWebhookConfiguration，但 make run 只起 manager，不配 webhook server。
立即学习“go语言免费学习笔记（深入）”；
- 本地调试 webhook 必须启动完整栈：先
make cert-manager（生成证书），再make install（安装 CRD + webhook config），最后make run ENABLE_WEBHOOKS=true -
ENABLE_WEBHOOKS=true会让 manager 启动certDir并监听/validate-xxx路径，否则请求直接被 apiserver 拒绝 - 检查
kubectl get ValidatingWebhookConfiguration是否存在，且webhooks[0].clientConfig.service.namespace指向你本地运行的 namespace（通常不是 default）
