连接失败主因是配置路径、运行环境、证书信任未对齐：本地须显式指定并校验kubeconfig路径及可读性，Pod内必须用InClusterConfig并确保RBAC与CA正确，TLS证书需显式配置CAData或CAFile，所有API调用须带超时context。
连接失败几乎从来不是 client-go 代码写错了，而是配置加载路径、运行环境、证书信任三者没对齐。本地用 InClusterConfig 必然失败，Pod 里硬塞 BuildConfigFromFlags 也必然 401；不检查 config.RawConfig().Contexts 就直接 NewForConfig，大概率卡在 no Auth Provider found for name "oidc"。
本地开发连不上：别信默认路径，显式指定且校验可读
client-go 默认按顺序找 $HOME/.kube/config → ~/.kube/config → KUBECONFIG 环境变量，但 Go 进程的 $HOME 可能是 /root（如容器里以 root 启动），也可能压根没生成过 config 文件。
- 用
clientcmd.NewDefaultPathOptions().GetDefaultFilename()获取真实路径，别硬写"~/.kube/config" - 拿到路径后立刻
os.Stat()+os.Readable()检查，不可读就提前报错，别等NewForConfig再 panic - 若 kubeconfig 有多个 context，别依赖
current-context字段——它可能被人工改错；用overrides := &clientcmd.ConfigOverrides{CurrentContext: "prod"}显式指定，并验证config.RawConfig().Contexts["prod"] != nil
Pod 内运行连不上：必须用 InClusterConfig，且确认 RBAC 和 CA
在集群内跑的程序（Operator、自定义控制器）如果还走 BuildConfigFromFlags，等于绕过 ServiceAccount Token，直接触发 401 Unauthorized。
- 只调
rest.InClusterConfig()，它会自动读取/var/run/secrets/kubernetes.io/serviceaccount/token和ca.crt - 确保 Pod 的
serviceAccountName绑定了带足够权限的 RoleBinding，比如对pods资源的get/list/watch - 若集群用私有 CA，需手动设
config.TLSClientConfig.CAFile = "/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"；InsecureSkipTLSVerify: true是反模式，生产禁用
x509: certificate signed by unknown authority 怎么办
这不是 client-go 的 bug，是 TLS 握手时客户端不信任服务端证书链。跳过校验等于放弃身份认证，不能上生产。
立即学习“go语言免费学习笔记（深入）”；
- 从 kubeconfig 的
clusters[].cluster.certificate-authority字段读取 CA 路径，或直接赋值config.TLSClientConfig.CAData为 PEM 字节 - 若 CA 是挂载进容器的 Secret，确认挂载路径是绝对路径（如
/etc/kubeconfig/ca.crt），且文件权限允许进程读取 - 测试命令：
curl -v --cacert /path/to/ca.crt https://kubernetes.default.svc，能通再进 Go 代码
context.TODO() 导致永久阻塞，超时必须显式控制
用 context.TODO() 调 List() 或 Watch()，一旦网络卡住，goroutine 就永远 hang 住，不会自动超时。
- 一律换成带 timeout 的 context：
ctx, cancel := context.WithTimeout(context.Background(), 30*time.Second) - 记得 defer cancel()，否则可能泄漏 goroutine
- Watch 场景更敏感：断连后 channel 关闭，必须监听
err := watch.ResultChan().Err()并判断是否为net/http: request canceled或i/o timeout，再 sleep 后重建
最易忽略的是：所有配置加载逻辑都该在主函数入口处完成并验证，而不是藏在某个初始化函数深处；RBAC 权限不足时 client-go 不报错，只静默返回空列表，得靠手动 curl API 或 kubectl auth can-i 提前兜底。
