本地开发应使用clientcmd.BuildConfigFromFlags加载绝对路径kubeconfig，禁用InClusterConfig；Pod内必须用rest.InClusterConfig并确保RBAC和CA证书正确。
本地开发连不上集群？别用 InClusterConfig
本地调试时调用 InClusterConfig() 一定失败，它只认 Pod 内的 /var/run/secrets/kubernetes.io/serviceaccount/ 路径和 https://kubernetes.default.svc 地址。硬套会导致 open /var/run/secrets/kubernetes.io/serviceaccount/token: no such file or directory。
必须显式加载 kubeconfig 文件：
-
clientcmd.BuildConfigFromFlags("", "/absolute/path/to/kubeconfig")—— 第二个参数必须是绝对路径，"./kubeconfig"或$HOME/.kube/config在容器或非交互 shell 中大概率失效 - 如果 kubeconfig 有多个 context，别依赖
current-context字段（人工易改），用clientcmd.NewNonInteractiveDeferredLoadingClientConfig+overrides.CurrentContext = "prod"显式指定 - 提前校验 context 是否真实存在：
config.RawConfig().Contexts["prod"] == nil，为空就报错，别等到NewForConfig才触发no Auth Provider found for name "oidc"
Pod 内运行必须用 rest.InClusterConfig
在集群内跑的 Go 程序（比如 Operator），必须走 rest.InClusterConfig()。用 BuildConfigFromFlags 指向一个空字符串或不存在的路径，虽然底层会 fallback 到 in-cluster 流程，但语义模糊，后续维护者容易误判。
关键点：
立即学习“go语言免费学习笔记（深入）”；
- 确保 Pod 绑定了带足够 RBAC 权限的
ServiceAccount，例如对nodes资源的get/list/watch -
InClusterConfig默认信任 API Server 的证书；若集群用了私有 CA，需额外设置：config.TLSClientConfig.CAFile = "/var/run/secrets/kubernetes.io/serviceaccount/ca.crt" - 不要手动读 token 或拼 Host ——
InClusterConfig已封装全部逻辑，重复造轮子反而引入错误
clientset.CoreV1().Pods(namespace) 的 namespace 参数不是“可选”
传空字符串 "" 不等于“所有命名空间”，它只是跳过命名空间字段；是否真能跨命名空间，取决于 ListOptions 是否开启对应能力。
常见误用与修正：
- 查所有命名空间下的 Pod：必须加
metav1.ListOptions{FieldSelector: "status.phase=Running"}，否则即使传""也只查default命名空间 - 查单个命名空间（如
monitoring）：clientset.CoreV1().Pods("monitoring").List(...)，namespace 字符串不能为nil或未初始化 - 加标签过滤：用
LabelSelector: "app=my-app"，不是Labels字段；且该 selector 是服务端过滤，不拉全量再筛
Watch 连接断了不会自动重连，得自己写
Watch() 返回的是一个 watch.Interface，底层是 HTTP/2 长连接。网络抖动、apiserver 重启、LB 超时都会导致 channel 关闭，而 client-go 默认不重连、也不支持断点续播。
必须手动处理重连逻辑：
- 监听
watch.Eventchannel 关闭，捕获err - 判断是否为连接类错误（如
net/http: request canceled、i/o timeout），而不是资源不存在等业务错误 - 重试前建议加退避（如
time.Sleep(2 * time.Second)），避免雪崩式重连 - 不要在重连循环里反复调
clientset.CoreV1().Pods("").Watch(...)—— 每次都新建 watch，旧连接残留可能压垮 apiserver
最易被忽略的一点：CA 证书路径或内容没对齐时，错误信息往往不提示具体缺失哪部分，而是泛泛报 x509: certificate signed by unknown authority。这时候要确认挂载进容器的证书路径是绝对路径，且文件权限允许 Go 进程读取——尤其在使用 subPath 挂载 Secret 时，容易漏掉文件权限继承。
