认证失败主因是kubeconfig路径、上下文或证书问题；应显式加载配置、检查上下文有效性、Pod内用serviceaccount token；自建集群需配置CA证书或跳过TLS校验。
用 client-go 连接集群时认证失败怎么办
绝大多数连接失败不是因为代码写错，而是 kubeconfig 文件路径、上下文或证书权限没对上。默认情况下 client-go 会按顺序查找：$HOME/.kube/config → ~/.kube/config → 环境变量 KUBECONFIG 指向的路径。如果在非交互式环境（比如容器里）运行，$HOME 可能为空，导致找不到配置。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 显式加载配置：
config, err := clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig") - 检查当前上下文是否有效：
kubectl config current-context，再确认该 context 对应的 user 和 cluster 是否都存在且未过期 - 服务账户 token 方式（如 Pod 内调用）：直接读取
/var/run/secrets/kubernetes.io/serviceaccount/token，并设置config.Host = "https://kubernetes.default.svc"，跳过kubeconfig加载 - 证书校验失败常见于自建集群使用私有 CA：需把 CA 证书内容传入
config.CAFile或设config.InsecureSkipTLSVerify = true（仅测试用）
怎么用 client-go 列出所有 Pod 并过滤命名空间
client-go 的核心是 Clientset，它按资源分组暴露方法。Pod 属于 core v1 组，对应 clientset.CoreV1().Pods(namespace)。namespace 传 "" 表示不指定（即全部命名空间），但必须用 List() 的 metav1.ListOptions 显式开启跨命名空间能力 —— 否则即使传空字符串也只查 default 命名空间。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 查所有命名空间下的 Pod：
clientset.CoreV1().Pods("").List(context.TODO(), metav1.ListOptions{FieldSelector: "status.phase=Running"}) - 查单个命名空间（如
default）：clientset.CoreV1().Pods("default").List(...) - 加标签过滤：用
LabelSelector字段，例如metav1.ListOptions{LabelSelector: "app=my-app"} - 注意
List()返回的是*v1.PodList，不是切片；遍历时用podList.Items
Watch Pod 变化时连接中断或重复事件怎么处理
Watch() 是长连接，底层基于 HTTP/2 流，天然容易受网络抖动、apiserver 重启、LB 超时影响。默认行为是断开后不重连，也不会自动从断点续播 —— 它只会返回一个 watch.Event 类型的 channel，一旦 close 就彻底结束。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 必须自己实现重连逻辑：监听 channel 关闭，捕获
err，判断是否为连接错误（如net/http: request canceled、i/o timeout），然后 sleep 后重建 watch - 避免重复事件：watch 机制本身不保证 exactly-once，断线重连后 apiserver 会从 resourceVersion 最近快照开始推送，可能漏掉中间变更；若业务强依赖顺序和完整性，应结合
List()+resourceVersion做兜底比对 - 不要在
for range watchCh循环里做耗时操作（如 HTTP 请求、数据库写入），否则阻塞 channel 接收，导致 buffer 满、连接被 apiserver 主动断开 - 设置合理超时：
context.WithTimeout(ctx, 30*time.Second)传给Watch()，防止卡死
为什么用 DynamicClient 而不是 Clientset
当你需要操作 CRD（CustomResourceDefinition）、或不确定资源是否存在（比如插件化场景）、或想写通用资源管理工具时，Clientset 就不够用了——它只支持编译时已知的内置资源类型（如 Pod、Service）。DynamicClient 绕过类型安全，用 unstructured.Unstructured 表示任意资源，靠 GroupVersionResource（GVR）定位 API 端点。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 初始化：
dynamicClient := dynamic.NewForConfig(config) gvr := schema.GroupVersionResource{Group: "apps", Version: "v1", Resource: "deployments"} - 操作 CRD：
gvr.Group = "example.com"; gvr.Version = "v1"; gvr.Resource = "myresources"，只要集群里注册了这个 CRD 就能用 - 注意字段访问方式不同：不能用
pod.Spec.Containers，得用unstruct.Object["spec"].(map[string]interface{})["containers"]，易出 panic，务必做类型断言和 nil 检查 - 性能略低：序列化/反序列化走
json.Marshal/Unmarshal，不如结构体直访快；但换来的是灵活性
