rest.InClusterConfig()是集群内认证唯一正解，因其专为Pod内自动挂载的ServiceAccount凭证（token、ca.crt）及KUBERNETES_SERVICE_HOST/PORT环境变量设计，离开Pod即报ErrNotInCluster或panic，不可用于本地调试。
直接用 rest.InClusterConfig()，别自己拼 config；它只在 Pod 里有效，本地跑必 panic。
为什么 rest.InClusterConfig() 是集群内认证的唯一正解
Pod 启动后，Kubernetes 自动挂载 ServiceAccount 的凭证到固定路径：/var/run/secrets/kubernetes.io/serviceaccount/token 和 /var/run/secrets/kubernetes.io/serviceaccount/ca.crt，同时注入 KUBERNETES_SERVICE_HOST 与 KUBERNETES_SERVICE_PORT 环境变量。rest.InClusterConfig() 就是专为读取这三样东西设计的——它不依赖 kubeconfig 文件，也不走任何插件或命令行参数。一旦离开 Pod（比如本地调试），它立刻返回 ErrNotInCluster 或 panic，这是硬限制，不是 bug。
常见错误：本地开发时误用 InClusterConfig
这个错误几乎必现：
- 在本地运行
go run main.go时调用rest.InClusterConfig()，程序直接 panic，报错类似open /var/run/secrets/kubernetes.io/serviceaccount/token: no such file or directory - 试图在容器里手动挂载 kubeconfig 并复用
BuildConfigFromFlags，结果因权限、路径或 context 切换失败而 401/403 - 忽略 RBAC，以为挂了 token 就能通——其实
InClusterConfig构造的 client 默认用 default namespace 下的 ServiceAccount，没绑 RoleBinding 就连/api都 403
正确初始化流程与关键检查点
以下代码片段是生产可用的最小闭环，重点在防御性判断：
立即学习“go语言免费学习笔记（深入）”；
config, err := rest.InClusterConfig()
if err != nil {
log.Fatal("InClusterConfig failed:", err) // 不要忽略 err
}
// 检查是否真在集群内（可选但推荐）
if config.Host == "" || config.BearerToken == "" {
log.Fatal("missing API server host or token")
}
clientset, err := kubernetes.NewForConfig(config)
if err != nil {
log.Fatal("NewForConfig failed:", err)
}
// 验证连通性（建议加，避免后续操作才暴露问题）
_, err = clientset.CoreV1().Pods("").List(context.TODO(), metav1.ListOptions{Limit: 1})
if err != nil {
log.Fatal("API access test failed:", err)
}
部署前务必确认：
- Pod 的
serviceAccountName字段已显式指定，且该 SA 已绑定具备足够权限的 Role/ClusterRole - 不要依赖 default SA，尤其在非 default namespace 中——
InClusterConfig不自动感知 namespace，clientset 的 namespace 是调用时传的 - CA 证书和 token 是只读挂载，不可写；若看到
x509: certificate signed by unknown authority，说明 ca.crt 内容为空或被覆盖，检查 Pod 是否禁用了 automountServiceAccountToken
想连别的集群？InClusterConfig 不行，得手拼 rest.Config
rest.InClusterConfig() 固定访问当前集群的 https://kubernetes.default.svc，无法切换目标。如果需要从一个 Pod 管多个集群（比如联邦控制面），必须手动构造 rest.Config：
- Host 设为远端集群 API Server 地址（如
https://prod-api.example.com:6443） - CAData 用 base64 解码后的远端 CA 证书字节（不能复用本集群的 ca.crt）
- BearerToken 来自远端集群的 ServiceAccount token，需提前注入或通过 Secret 挂载
- 每个目标集群都应有独立的
rest.Config实例，避免 TLS 设置或限流参数互相污染
最易被忽略的是 CA 证书校验环节：哪怕 token 正确，只要 TLSClientConfig.CAData 没设对或为空，就会卡在 TLS handshake 阶段，错误表现为 context deadline exceeded 而非明确的 x509 错误。
