client-go是Kubernetes官方唯一推荐的Go客户端SDK，封装认证、重试、watch等逻辑；集群外用clientcmd.BuildConfigFromFlags加载kubeconfig，集群内用rest.InClusterConfig自动读取ServiceAccount凭据。
用 client-go 连上集群是最直接的方式
Go 项目访问 Kubernetes，官方唯一推荐路径就是 client-go。它不是第三方库，是 Kubernetes 官方维护的 Go 客户端 SDK，封装了认证、重试、缓存、watch 等逻辑。别自己拼 HTTP 请求——容易漏掉 bearer token 刷新、401 后自动重登、server-side apply 的 header 处理等细节。
常见错误现象：Unauthorized 或 x509: certificate signed by unknown authority，基本都是 kubeconfig 路径不对、context 没切对，或证书/Token 已过期没刷新。
- 初始化前先确认
KUBECONFIG环境变量已设，或显式传入配置路径（如clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig")） - 若在 Pod 内运行，直接用 in-cluster config：
rest.InClusterConfig()，它会自动读取/var/run/secrets/kubernetes.io/serviceaccount/下的 token 和 ca.crt - 注意
rest.Config默认不启用 TLS 验证（TLSClientConfig.Insecure为 false），但若用自签名 CA，必须手动设置TLSClientConfig.CAFile
corev1.Clientset 是最常用的数据访问入口
拿到 *rest.Config 后，用它构造 corev1.Clientset，就能操作 Pod、Service、ConfigMap 等核心资源。不要一上来就用泛型 dynamic.Client——除非你真需要处理未知 CRD 或做元数据扫描。
使用场景：查某个命名空间下的所有 Pod，更新一个 Deployment 的镜像，删掉失效的 Secret。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
-
clientset.CoreV1().Pods("default").List(ctx, metav1.ListOptions{})返回的是*corev1.PodList，不是裸 JSON；字段名严格对应 API schema（比如pod.Status.Phase，不是pod.status.phase） - 写操作必须带
ctx，且建议设超时：context.WithTimeout(ctx, 10*time.Second)，否则网络卡住会永久阻塞 - 批量操作慎用
List+ 循环Update，考虑用Patch或 server-side apply（需Apply方法和metav1.ApplyOptions{FieldManager: "my-app"}）
Watch Pod 变化时别卡死在 Range 循环里
Watch 不是“一次性拉完再遍历”，而是返回一个 watch.Interface，其 ResultChan() 是持续接收事件的 channel。直接 for range 会导致 goroutine 无法退出、连接不释放。
性能影响：未关闭的 Watch 连接会占用 apiserver 的 long-running request slot，Kubernetes 默认限制每个用户 100 个并发 watch，超限后新请求会被拒绝（TooManyRequests）。
- 务必启动独立 goroutine 处理事件：
go func() { for event := range w.ResultChan() { /* handle */ } }() - 监听到
event.Type == watch.Error时，要检查event.Object.(*metav1.Status)并主动退出，不能忽略 - 业务逻辑中需支持优雅关闭：调用
w.Stop()，并在 defer 中确保 goroutine 退出（例如用sync.WaitGroup或context.CancelFunc）
CRD 资源得用 scheme.GroupVersionKind 注册后才能解码
访问自定义资源（比如 ingressroute.contour.heptio.com）时，client-go 默认不认识它的结构体。不注册 GVK 就直接 runtime.DefaultUnstructuredConverter.FromUnstructured(...)，会报 no kind "IngressRoute" is registered for version "contour.heptio.com/v1"。
容易踩的坑：只加了 contourv1.AddToScheme(scheme.Scheme)，但忘了把 scheme 传给 clientset 构造函数，导致内部 decoder 仍用默认 scheme。
- 先引入对应 CRD 的 Go client 包（如
github.com/projectcontour/contour/apis/generated/clientset/versioned） - 构造
rest.Config后，新建runtime.Scheme，调用该 CRD client 的AddToScheme方法 - 再用这个 scheme 构造 clientset：
versioned.NewForConfigAndScheme(cfg, scheme)，而不是用corev1.NewForConfig
复杂点在于不同 CRD 的 Go client 版本可能和你的 Kubernetes 版本不兼容，比如用 k8s.io/client-go v0.29 但 CRD client 还停留在 v0.26，scheme 注册时会 panic。这种时候得统一升级，或改用 dynamic.Client + unstructured.Unstructured 绕过类型绑定。
