根本原因是未区分运行环境，硬套rest.InClusterConfig()导致本地调试崩溃；该函数仅在Pod内且挂载ServiceAccount token时有效，本地须fallback至kubeconfig加载，并预检ServerVersion、selector匹配与证书信任链。
用 client-go 连接集群时 config 总是 nil 或 panic
根本原因是没区分运行环境，硬套 rest.InClusterConfig() 导致本地调试直接崩溃。这个函数只在 Pod 内运行且挂载了 ServiceAccount token 时才有效，本地开发必须 fallback 到 kubeconfig。
- 检查
KUBERNETES_SERVICE_HOST环境变量是否存在，不存在就走clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig") - 务必调用
config.UserAgent = "my-operator/0.1"，避免被 apiserver 限流 - 创建
clientset后加一行_, err := clientset.Discovery().ServerVersion()主动触发连接校验，比后续所有 API 调用失败再报错更早暴露问题
Deployment 创建后 Replicas 始终为 0
不是镜像拉不下来，也不是权限不够，90% 是 spec.selector.matchLabels 和 template.metadata.labels 对不上。Kubernetes 认为“找不到匹配的 Pod”，所以干脆不起任何实例。
- 别手写 map[string]string —— 用
labels.Set{"app": "my-service"}.AsSelector()构造 selector，类型安全且自动校验 key 格式 -
ClientSet.AppsV1().Deployments(namespace)的namespace参数必须显式传入，和deployment.ObjectMeta.Namespace无关；后者只影响资源元数据，不决定 API 请求路径 - 镜像名必须含 registry 地址（如
ghcr.io/myorg/myapp:v1.2），localhost:5000这种地址在非本地集群里根本不可达
更新 Deployment 后 Pod 不滚动、状态卡住
Kubernetes 所有变更都是异步的，Go 程序发完 Update() 就退出，等于只按了“开始键”没看结果。
- 轮询检查
dep.Status.UpdatedReplicas == *dep.Spec.Replicas且dep.Status.AvailableReplicas == *dep.Spec.Replicas，缺一不可 - 超时设 300 秒，每 3 秒查一次，超过阈值返回带上下文的 error（比如 “deployment rollout timeout after 300s”）
- 不要用
Replace()全量覆盖——会丢掉annotations和ownerReferences；改用Patch()或先Get()再Update()
本地调试时 client-go 报 x509 证书错误
常见于使用自建集群或 minikube，kubeconfig 里 CA 数据损坏、过期，或 Go 默认不信任系统根证书（尤其 Alpine 镜像里）。
立即学习“go语言免费学习笔记（深入）”；
- 用
openssl x509 -in /path/to/ca.crt -text -noout检查证书是否过期、CN 是否匹配 apiserver 地址 - 临时调试可加
rest.TLSClientConfig{Insecure: true}，但生产环境绝对禁用 - 若用 alpine 构建 client-go 工具，RUN apk add ca-certificates && update-ca-certificates，否则 TLS 握手必败
