核心难点在于client-go配置路径、资源分组和命名空间语义必须严格对齐：集群内用InClusterConfig，本地用BuildConfigFromFlags；Deployment属apps/v1而非core/v1；查所有命名空间需metav1.NamespaceAll；Update/Delete必带对象自身ResourceVersion。
用 Go 实现 Kubernetes 集群管理，核心难点不在语法，而在 client-go 的配置路径、资源分组和命名空间语义是否对齐——错一个，403 Forbidden、NotFound 或静默失败立刻出现。
clientset 初始化：InClusterConfig 和 BuildConfigFromFlags 必须严格按运行环境选
Pod 内运行和本地调试必须用两套初始化逻辑，混用直接 panic 或认证失败。
- 在集群内（如 Operator Pod）：只用
rest.InClusterConfig()，它自动读取/var/run/secrets/kubernetes.io/serviceaccount/下的token和ca.crt - 本地开发：必须用
clientcmd.BuildConfigFromFlags("", kubeconfigPath)，传空字符串或错误路径会报open /root/.kube/config: no such file or directory - 多 context 场景下不能依赖默认，得显式加载：
clientcmd.NewNonInteractiveDeferredLoadingClientConfig(rules, &clientcmd.ConfigOverrides{CurrentContext: "prod-cluster"})
资源 GroupVersion 错误是 404/403 最常见原因
Deployment 不在 CoreV1，Ingress 不再是 extensions/v1beta1，硬写错 group 就等于发请求到不存在的 API 路径。
-
clientset.CoreV1().Deployments("ns").List()编译就报错，正确是clientset.AppsV1().Deployments("ns").List() - Kubernetes 1.22+ 已废弃
extensions/v1beta1 Ingress，改用networking.k8s.io/v1，对应 client 是clientset.NetworkingV1().Ingresses("ns") - CRD 操作别硬写 unstructured，用
kubebuilder生成 typed client，字段校验、IDE 补全、编译期防护全都有
namespace 参数不是可选的字符串，而是有明确语义的常量
空字符串 "" ≠ 所有命名空间，也不等于默认命名空间；漏传或错传会导致查不到资源、删错集群、或权限拒绝。
立即学习“go语言免费学习笔记（深入）”；
- 查所有命名空间的 Pod：
clientset.CoreV1().Pods(metav1.NamespaceAll).List(ctx, opts)，不是Pods("") - 创建对象时，
ObjectMeta.Namespace字段必须显式设值，哪怕你调用的是Pods("myns")—— 接口路径不覆盖对象内部字段 - RBAC 权限必须精确匹配 group/version/kind，
apps/v1 deployments的权限不能靠core/v1 pods权限替代
Update/Delete 必须带 ResourceVersion，否则 409 Conflict 或静默失败
client-go 的 Update/Delete 默认要求强一致性校验，没传 ResourceVersion 就像没带 ETag 直接提交修改，API Server 会拒绝。
- 从 List 或 Get 结果中取
obj.ObjectMeta.ResourceVersion，再塞进 Update/Delete 请求的metav1.UpdateOptions或metav1.DeleteOptions - 批量更新多个对象时，每个都要单独取自己的
ResourceVersion，不能复用同一个 - 如果只是想“尽力更新”，可用
Apply（需启用 server-side apply），但注意Apply的 patch 策略和字段管理模型和 Update 完全不同
最易被忽略的是：ResourceVersion 在 List 响应里藏在 ListMeta.ResourceVersion，而不是每个 item 里；而 Update/Delete 必须用 item 自身的 ObjectMeta.ResourceVersion —— 这个细节一错，整个更新流程就卡死在 409。
