核心是为每个集群独立构建 rest.Config 和 Clientset 实例，禁用复用与 InClusterConfig；需隔离 transport、设置独立限速、封装 ClusterClient 结构体，并按需混合使用 Clientset 与 dynamic.Client。
如何用 client-go 同时连接多个 K8s 集群
核心是避免复用单例 rest.Config 或全局 Clientset。每个集群必须独立构建自己的 rest.Config 和 kubernetes.Clientset 实例。
常见错误是把多个集群的 ~/.kube/config 合并后只调一次 clientcmd.BuildConfigFromFlags，这会导致上下文切换混乱或认证失败。
- 从不同 kubeconfig 文件加载：用
clientcmd.NewNonInteractiveDeferredLoadingClientConfig+ 自定义clientcmd.ClientConfigLoadingRules指向各集群专属路径 - 从内存配置加载（如数据库读取的 token、CA、server URL）：直接构造
rest.Config，注意设置TLSClientConfig.Insecure、BearerToken、Host等字段 - 务必为每个 client 设置唯一
QPS和Burst（尤其多集群轮询时），否则默认值可能压垮某个集群 API server
rest.InClusterConfig 能否用于多集群？不能，除非你放弃 in-cluster 场景
rest.InClusterConfig 只读取当前 Pod 所在集群的 service account token 和 API server 地址，硬编码路径 /var/run/secrets/kubernetes.io/serviceaccount/，无法指定其他集群。
若你的管理服务本身运行在某一个 K8s 集群中，又想管其他集群，必须显式提供目标集群的接入信息——不能依赖 InClusterConfig 自动推导。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 误用表现：调用
rest.InClusterConfig()后得到的 client 总是访问本集群，无论你传什么 namespace 或 context - 替代方案：把其他集群的
server、caData、token存入 Secret 或 Vault，运行时动态构造rest.Config - 注意 base64 解码：kubeconfig 中的
certificate-authority-data是 base64 编码，需用base64.StdEncoding.DecodeString解码后赋给TLSClientConfig.CAData
如何安全地并发操作多个集群而不互相干扰
关键不是“加锁”，而是隔离 client 实例和其底层 transport。共用 http.Transport 可能导致 TLS 连接复用错乱、超时策略冲突。
典型踩坑：所有集群 client 共享一个 rest.Config 的 Transport 字段，结果 A 集群设了 5s timeout，B 集群请求卡住 10s 后全挂。
- 每个集群 client 应使用独立
http.Transport，至少设置不同MaxIdleConnsPerHost和IdleConnTimeout - 用结构体封装集群 client：例如
type ClusterClient struct { Name string; Client *kubernetes.Clientset; Config *rest.Config }，避免裸指针传递 - 并发调用时，别在 goroutine 里修改 client 的
RestClient().SetRateLimiter—— rate limiter 不是线程安全的，应初始化时就配好
为什么用 dynamic.Client 而不是 kubernetes.Clientset？取决于你是否需要强类型
kubernetes.Clientset 提供 CoreV1()、AppsV1() 等类型化接口，写法简洁但只能访问内置资源；dynamic.Client 可操作 CRD、自定义 group/version，适合统一纳管异构集群（比如有的集群装了 argoproj.io/v1alpha1，有的没装）。
但 dynamic 写起来啰嗦：你要自己拼 schema.GroupVersionResource，处理 unstructured.Unstructured，且没法用 IDE 跳转字段。
- 混合策略更实用：核心资源（Pod、Node、Namespace）走
Clientset，CRD 或不确定是否存在 API 的资源走dynamic - 别忘了设置
Namespace：dynamic client 的Get/List方法必须显式传namespace，空字符串表示全部命名空间，但""和metav1.NamespaceAll行为一致，别传nil - 错误处理要区分：
errors.IsNotFound对 dynamic client 有效，但errors.IsForbidden需检查err.(*errors.StatusError).ErrStatus.Reason
真正麻烦的不是连上多个集群，而是当集群网络抖动、kubeconfig 过期、RBAC 权限变更时，你的管理服务得快速识别哪个集群出问题、要不要降级、日志里能否一眼看出是 cluster-prod-us 的 token 失效而不是 cluster-staging-eu 的 DNS 解析失败——这些得靠 client 初始化时带上可追溯的标签和分层错误包装。
