最简路径是本地用clientcmd.NewDefaultClientConfigLoadingRules()自动处理kubeconfig，集群内确保ServiceAccount权限并验证ServerVersion；Pod列表需明确namespace、设Limit分页；Watch需超时重连并过滤假更新；CRD优先用DynamicClient避免scheme注册错误。
用 client-go 初始化 Kubernetes 客户端最简路径
直接用 rest.InClusterConfig() 或 clientcmd.BuildConfigFromFlags() 是最常见也最容易出错的起点。本地开发时硬编码 kubeconfig 路径或忽略 ~ 展开，会导致 stat ~/.kube/config: no such file or directory；在 Pod 里漏掉 ServiceAccount 权限，会卡在 Unauthorized 却不报具体原因。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 本地调试优先走
clientcmd.NewDefaultClientConfigLoadingRules()+clientcmd.NewDefaultClientConfig()，它自动处理~、KUBECONFIG环境变量和默认路径 - 集群内运行必须确保 Pod 绑定了带足够 RBAC 权限的
ServiceAccount，且容器里能读到/var/run/secrets/kubernetes.io/serviceaccount/下的 token 和 ca.crt - 初始化后立刻用
discovery.NewDiscoveryClientForConfig(cfg)调ServerVersion()验证连通性，比等后续 List 失败再排查更早暴露问题
调用 CoreV1 API 列举 Pod 必须注意的参数组合
corev1.PodList 的 List() 方法不是“传个 namespace 就完事”。namespace 为空字符串表示全部命名空间，但此时必须有 cluster-scoped 权限；若只查 default 命名空间却传了空字符串，会返回 403 而非 404。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 明确指定 namespace：用
clientset.CoreV1().Pods("default")再调List(ctx, opts)，opts中LabelSelector用labels.Everything()或labels.Parse("app=nginx")，别手写字符串 - 分页必须设
Limit（如 500），否则大集群可能 OOM；用Continue字段做下一页，不要依赖ResourceVersion做轮询 - 如果只需要名字和状态，加
FieldSelector: "status.phase!=Pending"减少传输量，但注意 field selector 不支持 OR 逻辑
Watch Pod 变化时如何避免连接中断和重复事件
直接调 Watch() 返回的 watch.Interface，不处理 Err() 或忽略 Done() channel，会导致连接断开后静默失败。Kubernetes API Server 默认 30 分钟关闭空闲 watch 连接，客户端不重连就会丢事件。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用
context.WithTimeout(ctx, 35*time.Minute)包一层再传给Watch()，超时后主动重建 watch - 每次从
ResultChan()读事件前，先 select 检查ctx.Done()和watcher.Err()，出错立即 log 并 break 重试循环 - 事件类型为
watch.Modified时，对比oldObj.ResourceVersion和newObj.ResourceVersion，跳过ResourceVersion相同的“假更新”（API Server 有时会重发）
使用 DynamicClient 处理 CRD 时绕过类型安全陷阱
CRD 对象没有 client-go 自动生成的 typed client，硬写 runtime.NewScheme().AddKnownTypes(...) 容易漏注册 GroupVersion 或 SchemeBuilder，导致 no kind "MyCustomResource" is registered for version "mygroup.example.com/v1"。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 优先用
dynamic.NewForConfig(cfg)+dynamicClient.Resource(schema.GroupVersionResource{...}).Namespace(...).List(...)，完全避开 scheme 注册 - GroupVersionResource 的
Group必须小写（如"cert-manager.io"），Version必须和 CRD 的spec.versions[0].name一致（如"v1"），Resource是复数小写（如"certificates"） - 拿到
unstructured.Unstructured后，用obj.Object["spec"].(map[string]interface{})访问字段，别强转 struct —— CRD 字段随时可能增减
真正难的不是调通第一个 GET 请求，而是处理 Token 过期、APIServer 重启、etcd 临时不可用这些“正常失败”。client-go 的 RetryWatcher 和 BackoffManager 接口得自己包一层，不然 watch 断连后重试间隔会越来越长，最后卡死。
