直接用 client-go 操作 K8s 集群时，必须为多集群场景独立配置：1. 各集群使用专属 kubeconfig 路径；2. 显式构造非交互式 ClientConfig；3. base64 解码 CAData 和 Token；4. Host 带协议且 TLS 隔离；5. 独立 transport 与 QPS/Burst 限速；6. 按需选用 Clientset 或 dynamic.Client。
直接用 client-go 就能操作 K8s 集群，但别一上来就调 rest.InClusterConfig() 或硬塞 ~/.kube/config —— 这俩只适用于单集群、固定上下文的场景，多集群、动态配置、权限隔离时会立刻出问题。
从 kubeconfig 文件加载 client 时，别用 BuildConfigFromFlags 硬编码路径
常见错误是写死 clientcmd.BuildConfigFromFlags("", "~/.kube/config")，结果所有集群都走同一个 config 文件，context 切换失效，甚至 token 复用导致 401。
- 每个集群必须用独立的
clientcmd.ClientConfigLoadingRules指向专属配置路径，比如./clusters/prod.kubeconfig和./clusters/staging.kubeconfig - 用
clientcmd.NewNonInteractiveDeferredLoadingClientConfig构造 client config，再显式调用ClientConfig()获取*rest.Config，避免隐式 context 解析冲突 - 如果 config 文件里有多个 context，务必在
ClientConfigLoadingRules中设置ExplicitPath，并确保current-context字段准确，否则clientcmd会 fallback 到默认 context
从内存构造 rest.Config 时，CAData 和 Token 必须手动 base64 解码
从数据库或 Vault 读取集群接入信息时，certificate-authority-data 是 base64 编码字符串，token 通常也是；直接赋值给 TLSClientConfig.CAData 或 BearerToken 会导致 TLS handshake failed 或 401。
- 用
base64.StdEncoding.DecodeString(caData)解码后赋给TLSClientConfig.CAData（注意不是CAFile） -
Host字段必须带协议（如https://api.prod.example.com:6443），漏掉https://会报错x509: certificate is valid for ... not ... - 若目标集群启用了不安全 TLS（测试环境），需显式设
TLSClientConfig.Insecure = true，否则连接被拒绝
并发访问多个集群时，transport 层必须隔离
共用一个 http.Transport 实例（比如全局复用 rest.DefaultTransport）会导致 TLS 连接池混用、超时策略覆盖、甚至证书错绑到错误集群。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 每个
*rest.Config创建前，先 new 一个干净的http.Transport，设置独立的MaxIdleConns、MaxIdleConnsPerHost和IdleConnTimeout - 不要把
rest.Config的Transport字段指向全局 transport；client-go 默认会复制一份，但显式赋值时容易误复用 - QPS/Burst 必须按集群单独设：比如
config.QPS = 5.0、config.Burst = 10，尤其轮询多个集群时，不设限会集中压垮某个 API server
选 Clientset 还是 dynamic.Client？看资源类型是否固定
kubernetes.Clientset 只支持内置资源（Pod、Deployment 等），没法处理 CRD；dynamic.Interface 能通吃所有资源，但字段访问靠 map[string]interface{}，类型安全和 IDE 支持差。
- 纯管理标准资源（Namespace、Service、ConfigMap）→ 用
Clientset，代码清晰、编译期检查强 - 要操作自定义资源（如
Elasticsearch、KafkaTopic）→ 必须用dynamic.Client，配合scheme.Scheme注册对应 GroupVersionKind - 混合场景（比如既要查 Pod 又要查某 CR）→ 同时持有
*kubernetes.Clientset和dynamic.Interface实例，别试图用 dynamic 去模拟 CoreV1 接口
最易被忽略的是 transport 隔离和 QPS 限速——它们不报错，但会在高并发下引发间歇性 503 或连接超时，排查时容易误判为网络问题。动手前先确认每个集群的 *rest.Config 是否真正独立，而不是“看着像多个”。
