多集群管理需为每个集群独立创建rest.Config和Clientset实例，禁用InClusterConfig复用，须从独立kubeconfig或动态构造配置，显式设置Transport、QPS/Burst，并隔离dynamic.Client。
多集群管理在 Go 中不是“配一个 config 就能切来切去”的事，每个集群必须有独立的 rest.Config 和 Clientset 实例，复用或混用会导致认证错乱、请求发到错误集群、甚至压垮 API Server。
client-go 多集群 client 初始化不能共用 rest.InClusterConfig
rest.InClusterConfig() 只读 /var/run/secrets/kubernetes.io/serviceaccount/ 下当前 Pod 所在集群的 token 和 CA，硬编码路径，无法指定目标集群。如果你的管理服务跑在 cluster-A 里，却想管 cluster-B，调 rest.InClusterConfig() 拿到的永远是 cluster-A 的凭据。
- 正确做法：从外部加载目标集群信息——要么读取专属
kubeconfig文件，要么从数据库/Vault 动态构造rest.Config - 注意
certificate-authority-data是 base64 编码，必须用base64.StdEncoding.DecodeString()解码后赋给TLSClientConfig.CAData - 若用内存构造，需显式设置
Host、BearerToken、TLSClientConfig，漏掉Insecure（当用 http 或自签证书时）会直接报x509: certificate signed by unknown authority
多个 Clientset 实例必须隔离 transport 和限速参数
共用 http.Transport 会导致 TLS 连接复用错乱，比如 cluster-B 的连接被 cluster-A 的 client 复用，出现证书不匹配或 401；默认 QPS/Burst（5/10）在轮询多个集群时容易触发限流，尤其对小规模集群。
- 为每个 client 显式配置独立
rest.Config，并在其Transport字段里 new 一个专属http.Transport - 务必调用
config.QPS = 2、config.Burst = 3等低值，按目标集群实际承载能力设，别留默认 - 避免使用全局
http.DefaultTransport，它会被所有未显式设 Transport 的 client 共享
从 kubeconfig 文件加载多集群 config 要绕过默认加载逻辑
常见错误是把所有集群的 context 合并进一个 ~/.kube/config，再用 clientcmd.BuildConfigFromFlags("", kubeconfigPath) ——这只会加载当前 context，切换 context 需手动调 clientcmd.NewNonInteractiveDeferredLoadingClientConfig 并传入自定义 clientcmd.ClientConfigLoadingRules。
立即学习“go语言免费学习笔记（深入）”；
- 推荐方式：为每个集群准备独立 kubeconfig 文件（如
/etc/clusters/prod.yaml、/etc/clusters/staging.yaml），用clientcmd.NewNonInteractiveDeferredLoadingClientConfig(&clientcmd.ClientConfigLoadingRules{ExplicitPath: "/etc/clusters/prod.yaml"}) - 若必须从单个文件多 context 加载，需先
config, err := clientcmd.NewDefaultClientConfigLoadingRules().Load()，再clientcmd.NewMultiClusterConfig(config, "prod-context")（需自行封装，client-go 不直接提供） - 不要依赖
kubectl config use-context，Go 程序不读 shell 环境里的当前 context
并发操作多集群时别加锁，要靠实例隔离
有人一想到“并发安全”就本能加 mutex，但问题不在 goroutine 竞争，而在底层 http.Client 和 Transport 被多个 client 共享。锁只能防住上层调用顺序，防不住底层连接错乱。
- 每个集群对应一个结构体实例，例如
type ClusterClient struct { Clientset *kubernetes.Clientset, Config *rest.Config, Name string } - 并发调用时直接传
*ClusterClient指针，不共享任何字段 - dynamic.Client 同理，每个集群需独立
dynamic.NewForConfig(config)，别用单例
最易被忽略的是 transport 复用和 QPS 设置——它们不出错则已，一出就是跨集群静默失败，日志里只看到 401 或 connection reset，根本不会提示“你用了别人的 transport”。
