Kubernetes API Server 是集群唯一入口和通信中枢，所有资源操作均通过其 RESTful HTTP 接口（如 https://:6443）完成；client-go 封装了认证、重试、watch 等机制，应优先使用而非直连 etcd。
Kubernetes 没有“集群数据库”这个概念——你真正要连的，是 Kubernetes 的 API Server（HTTP REST 接口），不是 MySQL 或 PostgreSQL。 所有对 Pod、Deployment、ConfigMap 等资源的操作，本质都是向 https://<k8s-apiserver>:6443</k8s-apiserver> 发送带认证的 HTTP 请求。所谓“连接集群”，就是配置好 client-go 客户端与该 API Server 通信。
为什么用 client-go 而不是直连 etcd
etcd 是 Kubernetes 的底层存储，但它是内部实现细节，不对外暴露 SQL 或类数据库接口。直接读写 etcd：
- 绕过所有 RBAC、准入控制、版本转换等安全与一致性保障
- 不同 Kubernetes 版本的 etcd 数据结构不兼容（如 v1.22+ 的 CRD 存储格式变更）
- client-go 已封装好重试、缓存、watch 机制，手动模拟成本极高
client-go 连接失败的三个高频原因
绝大多数“连不上集群”的问题，都卡在这三处：
-
~/.kube/config文件缺失或权限不对（chmod 600 ~/.kube/config） - 使用
in-cluster模式时，Pod 没挂载 ServiceAccount Token（检查ls /var/run/secrets/kubernetes.io/serviceaccount/是否有token和ca.crt） - 自建集群用了私有 CA，但 client-go 没加载
ca.crt（错误信息通常是x509: certificate signed by unknown authority）
两种典型连接方式的代码差异
本地开发和集群内运行，初始化 client-go 的方式完全不同，不能混用：
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
本地用 kubeconfig：
restConfig, err := clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig")
if err != nil {
panic(err)
}
clientset, err := kubernetes.NewForConfig(restConfig)
集群内用 in-cluster config：
restConfig, err := rest.InClusterConfig() // 不接受任何参数
if err != nil {
panic(err)
}
clientset, err := kubernetes.NewForConfig(restConfig)
注意：rest.InClusterConfig() 会硬编码读取 /var/run/secrets/kubernetes.io/serviceaccount/ 下的文件，路径不可配置；而 BuildConfigFromFlags() 的第二个参数为 "" 时默认读 ~/.kube/config，非空则读指定路径。
如何验证连接是否真正生效
光初始化 client 不代表能用。必须执行一次真实请求才能确认权限和网络通路：
- 不要只调
clientset.CoreV1().Pods("default").List()—— 它可能返回空列表但不报错，掩盖了 RBAC 拒绝问题 - 改用带明确权限要求的操作，比如
clientset.CoreV1().Pods("default").Get(context.TODO(), "nonexistent", metav1.GetOptions{})，预期返回404错误（说明连通且鉴权通过）；若返回403 Forbidden，就是 RBAC 权限不足 - 在 Pod 内调试时，先
kubectl exec -it <pod> -- curl -k https://kubernetes.default.svc/api/v1/namespaces/default/pods，排除 DNS 和网络策略问题
RBAC 配置漏掉 get 或 list 动词、命名空间限定错误、ServiceAccount 绑定错对象——这些细节一旦出错，client-go 不会提示“连接失败”，而是静默返回空或权限错误，容易误判为配置问题。
