必须为每个集群单独构造rest.Config和Clientset实例，禁用InClusterConfig及clientcmd.BuildConfigFromFlags多集群复用；需独立transport、QPS/Burst限速，并从专属kubeconfig或Vault动态加载配置。
必须为每个集群单独构造 rest.Config 和 kubernetes.Clientset 实例，不能复用、不能共用 transport、不能依赖 rest.InClusterConfig() 自动识别——这是唯一能稳定工作的前提。
为什么不能用 clientcmd.BuildConfigFromFlags 一次加载多个集群
这个函数只接受一个 --kubeconfig 路径或 --context 参数，强行合并多个集群的配置到一个文件里再调用它，会导致 context 切换不可控：client-go 内部会缓存默认 config，后续调用可能复用前一次解析结果，造成请求发到错误集群，甚至因 token/CA 不匹配直接报 x509: certificate signed by unknown authority 或 Unauthorized。
正确做法是按需分别加载：
- 从不同 kubeconfig 文件加载：用
clientcmd.NewNonInteractiveDeferredLoadingClientConfig+ 自定义clientcmd.ClientConfigLoadingRules指向各集群专属路径 - 从数据库或 Vault 动态加载：直接 new 一个
rest.Config，手动填Host、BearerToken、TLSClientConfig.CAData（注意先 base64 解码certificate-authority-data） - 绝对不要在多个集群间共享同一个
http.Transport实例——TLS 连接池、超时、Keep-Alive 策略都会互相干扰
如何避免多集群并发操作时的连接错乱
常见误操作是给所有 client 复用全局 http.DefaultTransport，或让多个 Clientset 共享底层 rest.RESTClient 的 transport。这会导致 TLS session 复用混乱，比如 A 集群的连接被 B 集群的请求意外复用，出现证书校验失败或 401。
立即学习“go语言免费学习笔记（深入）”；
安全做法是为每个集群 client 显式绑定独立 transport：
- 用
rest.CopyConfig复制原始 config 后，再修改其Transport字段 - 或直接 new 一个
http.Transport，设置MaxIdleConnsPerHost、TLSHandshakeTimeout等参数，再赋给config.WrapTransport - 每个
Clientset必须配独立 QPS/Burst（例如设为QPS: 5.0, Burst: 10），否则轮询多个集群时默认值（QPS: 5.0, Burst: 10）会被叠加压垮某个 API Server
rest.InClusterConfig 在多集群场景下完全不可用
rest.InClusterConfig() 是硬编码行为：它只读 /var/run/secrets/kubernetes.io/serviceaccount/ 下的 token 和 ca.crt，并拼出当前 Pod 所在集群的 API 地址（https://kubernetes.default.svc）。无论你传什么 namespace、context、甚至改环境变量，它都不会变。
如果你的管理服务本身运行在集群 A 中，却想操作集群 B/C/D，这条路走不通。替代方案只有两个：
- 把其他集群的
server、token、caData存进 Secret 或 Vault，在运行时解密并构造rest.Config - 禁用
InClusterConfig调用，统一走 out-of-cluster 加载逻辑，哪怕本集群也用 kubeconfig 文件方式接入
真正容易被忽略的是 transport 隔离和限速配置——它们不报错，但会在高并发轮询时引发偶发性连接拒绝或响应延迟，排查起来极难定位到 client-go 层。务必每个集群 client 都走独立 transport + 显式限速，别图省事复用。
