正确做法是使用 corev1.NamespaceAll：list, err := clientset.CoreV1().Pods(corev1.NamespaceAll).List(ctx, metav1.ListOptions{})；FieldSelector不支持跨命名空间查询，权限不足需绑定ClusterRoleBinding，大规模集群应分页或Watch。
用 client-go 列出所有命名空间的 Pod
直接调用 clientset.CoreV1().Pods("").List() 会报错：namespaces "" is forbidden。Kubernetes 的 Pod 资源是命名空间作用域的，空字符串 "" 不合法 —— 即使你想查所有命名空间，也得显式遍历或换用 Pods(corev1.NamespaceAll)。
正确做法是传入 corev1.NamespaceAll（值为 ""，但它是 client-go 定义的语义常量，不是裸字符串）：
list, err := clientset.CoreV1().Pods(corev1.NamespaceAll).List(ctx, metav1.ListOptions{})
if err != nil {
log.Fatal(err)
}
for _, pod := range list.Items {
fmt.Printf("%s/%s (%s)\n", pod.Namespace, pod.Name, pod.Status.Phase)
}
为什么不用 ListOptions.FieldSelector 过滤所有命名空间
FieldSelector 不能用来“跨命名空间查询”，它只在单个命名空间内生效。比如 fieldSelector=metadata.namespace!=default 看似能排除 default，但实际会报错：FieldSelector not supported on this server for the resource —— 因为大多数 Kubernetes 版本不支持对 pod 的 metadata.namespace 做 field selector 查询。
- 支持的 field selector 仅限少数字段，如
status.phase、spec.nodeName - 想按命名空间筛选，必须用
clientset.CoreV1().Pods("ns-name")指定命名空间 - 想查全部，唯一可靠方式就是用
corev1.NamespaceAll
权限不足时常见错误和修复
运行时如果遇到 Forbidden: User "system:serviceaccount:default:my-sa" cannot list resource "pods" in API group "" at the cluster scope，说明 ServiceAccount 缺少 cluster-scoped 权限。
立即学习“go语言免费学习笔记（深入）”；
需要绑定 ClusterRole（不能只用 Role）：
apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: my-pod-reader subjects: - kind: ServiceAccount name: my-sa namespace: default roleRef: kind: ClusterRole name: view # 或自定义只含 pods/list 的 ClusterRole apiGroup: rbac.authorization.k8s.io
-
viewClusterRole 默认允许 list/watch 所有命名空间的 pods，但不含 delete/exec 等敏感操作 - 若用自定义 ClusterRole，请确保 rules 中包含
resources: ["pods"], verbs: ["list"]，且scope是 cluster 级 - RoleBinding 只对单个命名空间有效，无法用于
NamespaceAll查询
性能与大规模集群下的注意事项
在几百个命名空间、上万个 Pod 的集群中，Pods(NamespaceAll).List() 一次返回全部数据可能触发 etcd 限流或客户端 OOM。
- 加
ListOptions.Limit和Continue实现分页（注意：server 必须支持watch和continuetoken） - 生产环境建议用
Watch替代定期List，减少重复全量拉取 - 避免在循环里反复 new clientset；复用一个带合适 timeout 的
rest.Config和Clientset - 如果只关心某几个命名空间，明确列出比
NamespaceAll更高效、更安全
真正麻烦的不是怎么写这行代码，而是搞清命名空间作用域、RBAC 权限边界和 list/watch 的语义差异 —— 这三者叠在一起，错一个就静默失败或权限拒绝。
