应类型断言为*errors.StatusError并调用Status().Code获取HTTP状态码，而非解析错误字符串；403/404/429等客户端错误不可重试，410需重新List再Watch，429和409等应结合Reason与Code判断并指数退避重试。
Go client-go 调用 Kubernetes API 时怎么拿到 403/404/429 等状态码
直接读 ApiError.Status 字段，别解析错误字符串。client-go 的所有 API 异常都统一包装成 apierrors.StatusError（底层是 *errors.StatusError），它的 Status() 方法返回标准的 v1.Status 结构，其中 StatusCode 字段就是你要的 HTTP 状态码。
常见错误现象：打印 err.Error() 看到 "Forbidden" 或 "Not Found"，但想程序化判断却去 strings.Contains(err.Error(), "403") —— 这种写法脆弱且不可靠，API Server 返回消息可能本地化、带前缀或随版本变化。
- 正确做法是类型断言：
if statusErr, ok := err.(*errors.StatusError); ok { statusCode := statusErr.Status().Code } -
statusErr.Status().Reason对应reason字段（如 "Forbidden"、"NotFound"） -
statusErr.Status().Message是人类可读的详细信息，适合打日志，但不建议用于逻辑分支 - 注意：不是所有 error 都是
*errors.StatusError，比如网络超时、证书错误会返回*url.Error或x509相关错误，需单独处理
为什么用 rest.InClusterConfig 初始化后 still get 401 Unauthorized
401 表示认证失败，和“能不能连上 API Server”是两回事。即使 rest.InClusterConfig() 成功返回了 config，也不代表 ServiceAccount 有权限操作目标资源。
典型原因不是配置错，而是 RBAC 没配对：
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 检查 Pod 使用的
serviceAccountName是否在对应 namespace 下存在 - 确认该 SA 绑定了 Role/ClusterRole，且
rules明确允许你调用的动词（get、list、watch）和资源（pods、deployments） - 特别注意：
watch权限必须显式声明，不能靠get或list自动继承 - 如果用
clientcmd.BuildConfigFromFlags测试，确保 kubeconfig 文件里 context 指向的 user 有足够权限，且证书未过期
如何区分 429 Too Many Requests 和其他临时错误并自动重试
client-go 默认不重试 429，但你可以手动识别并退避重试。关键不是看状态码数字，而是检查 Status().Details.Kind 和 Status().Reason 是否匹配限流语义。
更稳妥的做法是结合状态码 + Reason 判断：
-
if statusErr.Status().Code == 429 || (statusErr.Status().Code == 409 && statusErr.Status().Reason == metav1.StatusReasonConflict)—— 后者常出现在并发更新 resourceVersion 时 - 真正要重试的场景还包括
500 Internal Server Error和503 Service Unavailable，但需限制重试次数和间隔（避免雪崩） - 不要对 400/401/403/404 做重试：它们是客户端错误，重试无意义
- client-go v0.28+ 提供了
retry.RetryOnConflict辅助函数，专用于处理 409，但不覆盖 429；自定义重试逻辑建议用backoff.Retry+wait.ExponentialBackoff
Watch 连接中断后怎么拿到具体错误原因（比如 410 Gone 或 timeout）
Watch 不是单次请求，而是一个长连接流。当连接关闭时，watcher.ResultChan() 会关闭，但错误不会直接抛出——你需要从 channel 关闭前的最后一个 event 中提取错误。
标准模式是：
- 用
for event := range watcher.ResultChan()循环消费 - 循环结束后，调用
watcher.Stop()（可选），然后检查watcher.Err()—— 它返回最后一次 watch 请求的 error -
watcher.Err()可能是*errors.StatusError（如 410 Gone 表示 resourceVersion 过期）、context.DeadlineExceeded（超时）、或底层 net/http 错误 - 遇到 410 时，应重新 List 获取最新 resourceVersion，再发起新 Watch；不要盲目重连旧 resourceVersion
- 注意：
watcher.Err()在 channel 关闭后才可用，不能在 for 循环内调用
Status().Code 是基础，但 Status().Reason 和 Status().Details.Kind 才决定你该重试、提示用户、还是立刻报错。别只盯着数字。 
