Kubernetes资源更新必须遵循Get-Modify-Update/Patch流程，禁用硬编码覆盖；Deployment需带ResourceVersion防冲突；Service不可变字段为ClusterIP/Type；Namespace更新须保留Finalizers；标签更新优先用Patch避免全量覆盖。
直接更新 Kubernetes 资源对象（如 Deployment、Service、Namespace）在 Go 中不能靠“改完就发”，必须走标准 API 流程：先 Get，再本地修改字段，最后 Update 或 Patch。硬编码字段覆盖、忽略 ResourceVersion、跨命名空间误操作，是 90% 的更新失败根源。
Deployment 镜像更新必须带 ResourceVersion，否则 409 Conflict
Deployment 是不可变对象，Kubernetes 用 ResourceVersion 实现乐观锁。直接构造新对象调用 Update() 必然失败，错误信息是：Operation cannot be fulfilled on deployments.apps "xxx": the object has been modified; please apply your changes to the latest version and try again。
- 必须先调用
AppsV1().Deployments(ns).Get(ctx, name, metav1.GetOptions{})拿到当前完整对象 - 只改你关心的字段，例如
deploy.Spec.Template.Spec.Containers[0].Image = "nginx@sha256:abc123"—— 不要重置整个Spec.Template，否则会丢掉livenessProbe或env - 调用
Update()时传入原对象指针，client-go 会自动携带ResourceVersion - 并发更新场景下，需捕获
errors.IsConflict(err)并重试（最多 3 次），不能静默失败
Service 更新不能改 ClusterIP 或 Type，但可安全增删端口
Service 的 spec.clusterIP 和 spec.type 是创建后不可变字段。试图修改会报错：field is immutable。但 spec.ports 和 spec.selector 可随时更新，且不会中断流量。
- 想加一个新端口？直接
append(service.Spec.Ports, newPort)，不要service.Spec.Ports = []corev1.ServicePort{...}，否则清空原有端口 - 更新
selector时，确保新 label 在目标 Pod 上真实存在，否则Endpoints为空，服务 503 - 若仅改注解（
Annotations）或标签（Labels），用Patch比Update更轻量，避免读-改-写全量对象 - 注意：空字符串
Namespace会导致Services("").Update()panic，必须显式传入命名空间名
Namespace 标签更新要小心 Finalizers，别触发意外删除
更新 Namespace 本身（比如加 Labels）看似简单，但它的 Finalizers 字段控制着删除生命周期。如果代码里不小心把 Finalizers 设为 nil 或空列表，可能导致命名空间卡在 Terminating 状态。
立即学习“go语言免费学习笔记（深入）”；
- 务必保留原始
Finalizers：从Get()结果中读取，不要新建Namespace{}对象覆盖 - 只改
ObjectMeta.Labels，其它字段（如DeletionTimestamp、ResourceVersion）保持原样 - 若需批量更新多个命名空间的标签，用
List()+ 循环Update()，别用Patch批量提交——client-go 不支持 Namespace 的 patch 批量操作 - 测试环境建议加
if ns.Name == "default" { return }防手滑
Label 更新别用 Update 全量覆盖，优先用 Patch
给 Pod、Deployment 等资源打标签，最常见错误是读出对象 → 改 Labels map → Update() 整个对象。这不仅低效，还可能覆盖别人刚加的 annotation 或 ownerReferences。
- 推荐用
Patch：构造 JSON Merge Patch，只发变更部分，例如{"metadata":{"labels":{"env":"prod"}}} - 调用
CoreV1().Pods(ns).Patch(ctx, name, types.MergePatchType, patchData, metav1.PatchOptions{}) - 若必须用
Update()，请确认你读到的对象是最新版（加ResourceVersion检查），且没有其它协程同时在改同一资源 - 注意：label key 里含
/（如app.kubernetes.io/name）必须用双引号包裹，否则 JSON patch 解析失败
真正难的不是写对那几行 Update 代码，而是判断该不该更新、什么时候重试、谁在并发改同一个对象。生产环境所有更新操作都应带 context timeout、重试逻辑和事件记录，而不是依赖一次成功的 Update() 调用。
