临时容器不能通过修改pod.spec添加，必须使用POST请求调用/pods/{name}/ephemeralcontainers子资源端点；client-go未封装该方法因其是非持久化、非标准子资源，需手动构造REST请求并显式授权RBAC权限。
不能直接用 Go 代码向 Pod 注入 Ephemeral Container —— Kubernetes API 不允许客户端通过修改 pod.spec 的方式添加临时容器，它必须走独立的 /ephemeralcontainers 子资源端点，且该操作仅支持 POST（追加），不支持 PUT 或 PATCH 修改。Go 官方 client-go 目前（v0.31+）也未封装该子资源的便捷方法。
为什么 client-go 没有 Pod.EphemeralContainers() 这类方法
因为 ephemeralcontainers 是一个特殊的、非标准的子资源（Subresource），它不遵循常规的 RESTful 资源模型：它没有自己的 CRD，不参与 etcd 持久化，也不出现在 pod.spec 中；它的生命周期完全绑定于 Pod 实例，且只能通过 POST /api/v1/namespaces/{ns}/pods/{name}/ephemeralcontainers 添加。client-go 的 Scheme 和动态客户端默认不注册该路径，需手动构造请求。
常见错误现象：patch: invalid JSON payload 或 the server does not allow this method on the requested resource，本质是误用了 PodClient.Patch() 或试图 patch pod.spec.ephemeralContainers 字段（该字段根本不存在）。
- 临时容器不是 Pod spec 的一部分，
kubectl edit pod xxx或clientset.CoreV1().Pods(ns).Update(ctx, pod, ...)对它完全无效 - API Server 必须已启用
EphemeralContainers=true特性门控（K8s v1.25+ 默认开启，但旧集群仍需确认） - RBAC 必须显式授权
patch权限到pod/ephemeralcontainers子资源，例如：verbs: ["patch"], resources: ["pods/ephemeralcontainers"]
Go 中正确注入的最小可行方案：用 RESTClient 手动 POST
绕过 client-go 高层抽象，直接调用底层 RESTClient 发送 JSON 请求。关键点在于构造合法的 EphemeralContainer 对象并 POST 到子资源路径：
立即学习“go语言免费学习笔记（深入）”；
在 Golang 中使用 samber/hot 进行内存缓存，支持 LRU、LFU、TinyLFU、W‑TinyLFU、S3FIFO、ARC、TwoQueue、SIEVE、FIFO 等淘汰算法，提供 TTL、缓存加载器及分片功能。
import (
"context"
"encoding/json"
corev1 "k8s.io/api/core/v1"
metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
"k8s.io/client-go/rest"
"k8s.io/client-go/tools/clientcmd"
)
<p>type EphemeralContainer struct {
Name string <code>json:"name"</code>
Image string <code>json:"image"</code>
Command []string <code>json:"command,omitempty"</code>
Args []string <code>json:"args,omitempty"</code>
Stdin bool <code>json:"stdin,omitempty"</code>
TTY bool <code>json:"tty,omitempty"</code>
TerminationMessagePolicy corev1.TerminationMessagePolicy <code>json:"terminationMessagePolicy,omitempty"</code>
}</p><p>func injectEphemeralContainer(config *rest.Config, ns, podName string) error {
client, err := rest.RESTClientFor(config)
if err != nil {
return err
}</p><pre class="brush:php;toolbar:false;">ec := EphemeralContainer{
Name: "debug-shell",
Image: "busybox:1.35",
Command: []string{"sh"},
Stdin: true,
TTY: true,
}
body, _ := json.Marshal(ec)
// 注意路径：/pods/{name}/ephemeralcontainers，不是 /pods/
req := client.Post().
Resource("pods").
Name(podName).
SubResource("ephemeralcontainers").
Namespace(ns).
Body(body)
result := req.Do(context.TODO())
return result.Error()}
注意：TerminationMessagePolicy 必须设为 corev1.TerminationMessagePolicyFallbackToLogsOnError 或省略（默认值），否则可能报错 invalid value: \"File\": supported values: \"FallbackToLogsOnError\"。
注入后无法 exec 进去？检查共享命名空间配置
即使 POST 成功，kubectl exec -it <pod> -c debug-shell -- sh</pod> 仍可能失败，原因通常是未显式启用命名空间共享。Ephemeral Container 默认不自动继承主容器的 pid、network 等命名空间，需在 JSON body 中显式设置：
- 加
"targetContainer": "main-container-name"字段（K8s v1.27+ 支持），才能共享 network/pid/IPC - 若目标 Pod 有多个容器，必须指定
targetContainer，否则调试容器运行在独立命名空间，看不到主进程、连不上 localhost 服务 - 旧版本（v1.26 及以前）需靠
shareProcessNamespace: true在 Pod 级开启，但这需要重建 Pod，不适用于已运行 Pod 的临时注入
所以实际使用的 EphemeralContainer 结构体应补全：TargetContainer string `json:"targetContainer,omitempty"`，并在初始化时填入主容器名（如 "nginx"）。
最易被忽略的一点：临时容器注入成功后，kubectl get pod -o yaml 里永远看不到它 —— 因为它不在 etcd 中持久化。唯一验证方式是 kubectl describe pod <name></name> 查看 Events，或直接 kubectl exec -it <pod> -c debug-shell</pod> 尝试连接。别指望从 Pod 对象字段里“读出来”。
