client-go初始化失败主因是运行身份与kubeconfig路径/权限不匹配：本地应使用NewDefaultPathOptions().GetDefaultFilename()获取并校验路径，容器内必须用InClusterConfig()读取serviceaccount令牌。
client-go 初始化失败，八成是运行身份和配置路径没对上，不是 kubeconfig 文件“不存在”，而是 Go 进程读不到它。
client-go 初始化总 panic：open /root/.kube/config: permission denied
这是最典型的权限错位问题。Go 进程以 root 启动时，~ 指向 /root；但你日常用普通用户生成的 kubeconfig 在 /home/yourname/.kube/config，root 根本没权限读。
- 先在 shell 里跑
kubectl get pods，能通再写代码——这是唯一靠谱的前置验证 - 代码里别硬写路径，改用
clientcmd.NewDefaultPathOptions().GetDefaultFilename()获取真实路径 - 拿到路径后，立刻加校验：
os.Stat(path)+os.Readable()，比 panic 更早暴露问题 - 容器内运行？直接放弃
BuildConfigFromFlags，改用rest.InClusterConfig()，它会自动读/var/run/secrets/kubernetes.io/serviceaccount/下的 token 和 ca.crt
CoreV1().Pods(ns).List() 返回空列表但无报错
这不是 client-go 的 bug，是 Kubernetes API 的静默设计：没权限、ns 错、或真没资源，都返回 Items: []，HTTP 状态码却是 200。
- 第一反应不是改代码，而是用
curl -k --cert ... --cacert ... https://<master-ip>:6443/api/v1/namespaces/<ns>/pods</ns></master-ip>手动请求，看 HTTP 状态码是不是 403 或 404 - 确认 RBAC：ServiceAccount 必须绑定含
resources: ["pods"]且namespacescope 的 RoleBinding，不能只给 ClusterRole -
ListOptions.FieldSelector很容易写错，比如status.phase=Running会过滤掉 Pending/PodInitializing 状态的 Pod，首次调试建议传metav1.ListOptions{}空结构体 - context 别用
context.TODO()上生产，必须带 timeout，否则网络卡住时 goroutine 永久挂起
Informer.HasSynced() 始终返回 false
Informer 不是“一注册就收事件”，它得先同步完本地缓存（list + watch），HasSynced() 才变 true。没等同步完成就调 informer.AddEventHandler()，事件根本不会触发。
立即学习“go语言免费学习笔记（深入）”；
- 别在启动后立刻检查
HasSynced()，要等它返回 true 后才开始业务逻辑 - 加个简单轮询：
wait.PollImmediate(100*time.Millisecond, 30*time.Second, func() (bool, error) { return informer.HasSynced(), nil }) - 确保
Run()已被调用且没 panic——Informer 启动后会在后台持续 list/watch，没 run 就等于没启动 - 如果一直 false，大概率是 RBAC 权限不够（比如缺
watch动词）或 namespace 写错，导致 list 请求失败，同步卡住
最常被跳过的一步：无论本地还是集群内，rest.Config 构建后，一定要用 rest.ClientRateLimiter 或至少打日志输出 config.Host 和 config.BearerToken（脱敏）来确认 endpoint 和认证方式真被正确加载了——很多问题其实在 config 构建那一刻就埋下了，只是到 List 才暴露。
