rest.InClusterConfig()在本地跑不起来，因为它仅适用于Kubernetes Pod内环境，依赖自动挂载的ServiceAccount证书路径（/var/run/secrets/kubernetes.io/serviceaccount/），而本地无此目录，调用会panic或报“no such file or directory”。
rest.InClusterConfig() 为什么在本地跑不起来
因为 rest.InClusterConfig() 只在 Kubernetes Pod 内有效，它会去读 /var/run/secrets/kubernetes.io/serviceaccount/ 下的 token、ca.crt 和 namespace。本地开发机没有这些文件，调用直接 panic 或返回 error。
常见错误现象：open /var/run/secrets/kubernetes.io/serviceaccount/token: no such file or directory
- 开发阶段必须 fallback 到
clientcmd.BuildConfigFromFlags("", "/absolute/path/to/kubeconfig")，路径必须是绝对路径（"./kubeconfig"会失败） - 不要在代码里写死
~/.kube/config——os.UserHomeDir()在容器里没意义，且 CI 环境通常无 home - 若用 GitHub Actions 或其他 CI，把 kubeconfig 写成 secret 注入，并挂载为文件，再传绝对路径给
BuildConfigFromFlags
clientset.CoreV1().Pods("ns").List() 报 401 或空 namespace 错误
401 多半是认证失败：token 过期、CA 不匹配或没设 TLSClientConfig.CAData；空 namespace 则是调用时漏传命名空间参数，导致默认落到 default，而资源实际在别的 ns。
-
CoreV1().Pods("")是非法调用，会 panic；必须明确传入非空字符串，如"my-ns" - 用
rest.InClusterConfig()时，token 权限由 ServiceAccount 的 RBAC 控制，确保该 SA 绑定了能 list pods 的 RoleBinding - 若手动构造
rest.Config（比如直连公网 API Server），务必设置TLSClientConfig.CAData，否则 client-go 默认拒绝连接 —— 这是最常被忽略的 panic 原因 - 调试时可临时加
TLSClientConfig.Insecure: true（仅测试环境），但生产禁用
Watch 调用后很快断开并报 "watch closed before any items received"
这不是代码写错了，而是 client-go 的 watch 机制对 resourceVersion 敏感，初始 list 后 watch 必须接上合法 version，否则 apiserver 直接关闭流。
立即学习“go语言免费学习笔记（深入）”；
- 正确做法是先
List()拿到resourceVersion，再用它作为ListOptions.ResourceVersion启动Watch() - 不要用
"0"或空字符串当 resourceVersion 启动 watch，apiserver 会拒收 - Watch 断连是常态（网络抖动、apiserver 重启），必须自己实现重试逻辑：捕获
errors.IsForbidden()、errors.IsTimeout()等，并回退到 List + Watch 循环 - 生产环境建议用
cache.NewSharedInformer，它内置重连、reflector、delta FIFO，比裸 Watch 稳定得多
为什么不能手写 HTTP 请求调 Kubernetes API
不是不能发，是发了也撑不过三分钟 —— 认证刷新、410 Gone 处理、resourceVersion 递增、Event 解析全得自己撸，bug 比业务逻辑还多。
- Bearer Token 有有效期，
client-go自动用TokenSource刷新；裸 HTTP 得自己轮询 token endpoint 或解析 JWT 过期时间 - watch 收到
410 Gone时，必须立刻List()拿最新 snapshot，再从新resourceVersion继续 watch；裸调容易卡死 - Watch 响应是分帧的 JSON 流（每行一个
WatchEvent），需按换行解析；少处理一行就错位，后续全乱 -
client-go提供强类型 struct（如v1.Pod），字段拼错编译期报错；裸 JSON 只有运行时报panic: interface conversion: interface {} is nil
真正难的从来不是“怎么连上”，而是“连上之后怎么不掉、不错、不漏、不卡”。这些细节藏在 client-go 的 informer、reflector、retryWatcher 里，跳过去只会让问题更晚暴露。
