最简路径是用clientcmd.BuildConfigFromFlags()或rest.InClusterConfig()初始化rest.Config，再调用kubernetes.NewForConfig()获取Clientset，最后通过CoreV1().Pods(ns).Create()创建Pod；需确保Pod结构体字段tag对齐、Namespace非空且权限充足。
用 clientset 创建 Pod 最简路径
直接调用 Kubernetes 官方 Go client 的 clientset 是最稳妥的方式，它封装了所有核心资源的 CRUD 接口，且与 API server 版本强对齐。别自己拼 HTTP 请求或用 rest.Interface 手动发 POST——容易漏掉 content-type、resourceVersion 处理、GVK 识别等细节。
关键步骤：
- 用
rest.InClusterConfig()（集群内）或clientcmd.BuildConfigFromFlags()（本地 kubectl 配置）初始化*rest.Config - 传给
kubernetes.NewForConfig()得到*kubernetes.Clientset - 调用
CoreV1().Pods("default").Create(ctx, pod, metav1.CreateOptions{})，注意pod必须带apiVersion: v1和kind: Pod字段
常见错误：400 Bad Request 通常是因为 struct tag 没对齐（比如字段名大写但没加 json:"metadata"），或 Namespace 字段为空却没在 Create() 的命名空间参数里指定。
Apply 场景该用 apply 还是 create？
Go client 本身不提供原生 apply 语义（类似 kubectl apply 的三路合并），它只有 Create/Update/Patch。若你依赖 kubectl apply -f 的行为（如保留未显式声明的字段、处理 last-applied-configuration annotation），不要试图用 Update 模拟——它会覆盖整个对象，丢失 service account token、status 字段等。
立即学习“go语言免费学习笔记（深入）”；
正确做法：
在 Golang 中使用 samber/hot 进行内存缓存，支持 LRU、LFU、TinyLFU、W‑TinyLFU、S3FIFO、ARC、TwoQueue、SIEVE、FIFO 等淘汰算法，提供 TTL、缓存加载器及分片功能。
- 真需要
apply逻辑：调用kubectl二进制（exec.Command("kubectl", "apply", "-f", "/tmp/pod.yaml")），或引入sigs.k8s.io/cli-utils/pkg/kstatus等第三方库 - 若只是“存在则跳过，不存在则建”，用
Get+Create组合，但注意Get可能返回IsNotFound(err)错误，需用errors.IsNotFound()判断 -
Create重复执行会报AlreadyExists错误，不能忽略——这说明资源已存在，但未必是你期望的状态
自定义资源（CRD）怎么创建？
CRD 不在 clientset 覆盖范围内，必须用 dynamic.Client 或生成 clientset。前者更轻量，适合临时脚本；后者适合长期维护的 Operator。
用 dynamic 的要点：
- 构造
*schema.GroupVersionResource，例如&schema.GroupVersionResource{Group: "apps.example.com", Version: "v1", Resource: "databases"} - 用
dynamic.NewForConfig(cfg)得到 client，再调用Resource(gvr).Namespace("default").Create(ctx, obj, metav1.CreateOptions{}) -
obj必须是*unstructured.Unstructured类型，且obj.SetUnstructuredContent(map[string]interface{}{...})中的 key 必须全小写（如"apiVersion"、"kind"），不能用 struct
坑点：Unstructured 不校验字段合法性，API server 返回 Invalid 错误时，message 常是模糊的 “error validating data”，建议先用 kubectl create --dry-run=server -f xxx.yaml 验证 CR YAML 合法性。
权限不足时错误信息长什么样？
RBAC 权限缺失不会返回 403 Forbidden 这种直白提示，而是 404 Not Found（故意隐藏资源是否存在）或 401 Unauthorized（token 无效/过期）。真正要盯住的是 status.StatusReasonForbidden。
检查方式：
- 捕获 error 后用
apierrors.IsForbidden(err)判断（来自k8s.io/apimachinery/pkg/api/errors） - 看 error 的
err.Error()是否含"forbidden"和具体动词，如"user cannot create pods in the namespace \"default\"" - 确保 ServiceAccount 已绑定 Role/ClusterRole，且 RoleBinding 的
namespace字段与操作命名空间一致（ClusterRoleBinding 无此限制）
最容易被忽略的是：InClusterConfig 默认使用 Pod 的 ServiceAccount，而本地开发时用 kubeconfig，两套 RBAC 配置常不一致——测试前务必确认 config 加载的是哪套凭据。
