用 client-go 读 Secret 必须 base64 解码：secret.Data["password"] 返回的是 base64 编码后的字节切片，需用 base64.StdEncoding.DecodeString(string(...)) 转为明文；直接打印或 string() 强转会导致乱码或认证失败，且 key 不存在时返回 nil 切片，解码空字符串会 panic。
用 client-go 读 Secret 必须 base64 解码 Data 字段
直接取 secret.Data["password"] 得到的是 base64 编码后的字节切片，不是明文。Kubernetes 的 v1.Secret 规定 Data 中所有值必须是 base64 编码内容，哪怕你传的是字符串也得先 encode。
常见错误：日志里直接打印 secret.Data["password"]，看到乱码就以为出错；或者用 string() 强转后当明文用，结果连接数据库时报 password authentication failed。
- 正确做法：用
base64.StdEncoding.DecodeString(string(secret.Data["password"]))解码 - 如果 key 不存在（比如拼错成
"passwd"），secret.Data["passwd"]返回 nil 切片，len()是 0，但后续DecodeString("")会 panic 报illegal base64 data - 别在日志或监控中输出
secret.Data全量内容——它本质就是密文容器，打出来等于泄露
创建 Secret 时 Data 值必须手动 base64 编码
不能把原始字符串直接塞进 Data 字段。client-go 不会帮你自动编码，K8s API 接收时也不校验格式，但解码失败会导致消费端拿不到有效凭据。
例如存 MySQL 密码 "t0p-Secret"：
立即学习“go语言免费学习笔记（深入）”；
data := map[string][]byte{
"password": []byte(base64.StdEncoding.EncodeToString([]byte("t0p-Secret"))),
}
漏掉这一步，Secret 资源能创建成功，但挂载为文件或注入环境变量后内容是明文乱码，应用解析失败。
-
Type必须显式设置，如v1.SecretTypeOpaque；TLS 类型要用v1.SecretTypeTLS并确保含"tls.crt"和"tls.key" -
Namespace必须指定，空字符串或未设默认 ns 都可能创建失败 - 如果是证书类二进制数据（如
tls.key），别当 UTF-8 字符串处理，避免截断或转义
Update Secret 必须带 ResourceVersion
client-go 的更新是乐观并发控制，不带 ResourceVersion 会直接返回 409 Conflict 错误，而不是覆盖或合并。
典型流程是：先 Get() 或 List() 拿到旧对象 → 修改 Data → 把原对象的 ResourceVersion 复制到新对象的 ObjectMeta.ResourceVersion → 调 Update()。
- 从
List()结果里取secret.ResourceVersion时，注意遍历 items，别错拿 list 自身的 metadata - 如果多个协程并发更新同一个 Secret，可能因版本冲突失败，需加重试逻辑
- 没做
Get()就直接构造新对象调Update()，基本必败
监听 Secret 变更要用 Informer + 事件过滤
想让 Go 应用感知 Secret 更新（比如轮换 DB 密码后热加载），别轮询 Get()，用 cache.NewInformer() 绑定 v1.Secret 类型，再注册 EventHandler。
关键点在于过滤——只关心特定命名空间、特定名称的 Secret，否则集群里成百上千个 Secret 事件会拖垮你的 informer。
- 初始化时传入
cache.WithFieldSelector("metadata.name=app-db-credentials,metadata.namespace=prod") - 在
OnAdd/OnUpdate回调里重新解码Data，并触发连接池重建或配置重载 - Informer 默认缓存全量对象，内存占用随 Secret 数量线性增长，生产环境务必加 field selector 限流
database/creds/myapp 返回的是带 lease_id 的动态凭据，必须续租；而 K8s Secret 是静态资源，靠 RBAC 和 etcd 加密保护。选哪条路，取决于你是否需要自动轮换、审计溯源、跨环境策略统一——这些都不是 client-go 本身能解决的。 
