client-go是Go操作Kubernetes的唯一标准库，版本必须与集群主版本严格对齐（如集群v1.26.5需client-go v0.26.5），且k8s.io/api和k8s.io/apimachinery须同版本；本地用BuildConfigFromFlags，集群内用InClusterConfig；操作资源时namespace、ResourceVersion、context.Context三者缺一不可；CRD需用dynamic.Client或自动生成typed client。
client-go 是你在 Go 里操作 Kubernetes 的唯一正路，没它就只能手敲 kubectl 命令、解析 JSON、自己做重试和鉴权——不现实。直接上手写代码前，先明确一点：**不是所有 client-go 版本都能连上你的集群**，版本错配会卡在 x509: certificate signed by unknown authority 或 no Auth Provider found for name "oidc"，根本进不去 API。
怎么选对 client-go 版本
版本必须和集群的 Kubernetes 主版本对齐，差一个小版本都可能出问题：
- 查集群版本：
kubectl version --short，看 Server 版本，比如v1.26.5 - 对应 client-go 版本是
v0.26.5（注意不是v0.26.0或main分支） - 用
go get k8s.io/client-go@v0.26.5显式拉取，别依赖go mod tidy自动选 - 同时要匹配
k8s.io/api和k8s.io/apimachinery，它们得跟 client-go 同版，否则编译报undefined: scheme.Scheme类错误
BuildConfigFromFlags 和 InClusterConfig 怎么选
本地开发和集群内运行，初始化 config 的方式完全不同，混用必炸：
- 本地调试：必须用
clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig")，路径不能错，~不展开，得用os.Getenv("HOME")拼 - Pod 内运行：必须用
rest.InClusterConfig()，且 Pod 必须挂载了默认 ServiceAccount，RBAC 权限得提前给足（比如pod-readerClusterRoleBinding） - 别在本地硬塞
InClusterConfig—— 它会去读/var/run/secrets/kubernetes.io/serviceaccount/，路径不存在直接 panic - 别在集群内硬塞 kubeconfig 路径 —— 权限不对或文件不可读，报
open /root/.kube/config: no such file
操作资源时最容易漏的三个参数
哪怕 clientset.CoreV1().Pods("default").List() 看起来很顺，漏掉关键项就会静默失败或行为异常：
-
namespace：传空字符串""表示 all-namespaces；传"default"就只查 default 下的；漏传（即用默认值）可能查到空列表，因为默认 namespace 是"default"，但你实际在"prod" -
ResourceVersion：Update 或 Delete 时必须带，否则触发乐观锁冲突，报the object has been modified；建议先Get再改再Update -
context.Context：所有 List/Create/Watch 方法第一个参数都是ctx，别传context.TODO()上生产，得带 timeout 或 cancel 控制生命周期
CRD 和内置资源的 client 不是一个入口
想操作 Deployment？走 AppsV1().Deployments(ns)；想操作 HorizontalPodAutoscaler？得用 AutoscalingV2().HorizontalPodAutoscalers(ns)；想操作你自己定义的 MyApp CR？得用 dynamic.Client 或自动生成的 clientset：
立即学习“go语言免费学习笔记（深入）”；
- CRD 没有预置的类型安全接口，
clientset.CoreV1()根本不认识它 - 用
dynamic.NewForConfig(config)+dynamicClient.Resource(schema.GroupVersionResource)是通用解法 - 如果 CRD 稳定，推荐用
controller-gen生成 typed client，比 dynamic 更安全、IDE 更友好 - 别指望
CoreV1()能 list 任何非 core 组的资源，报the server could not find the requested resource是常态
