使用 client-go 创建 secret 需构造 v1.secret 结构体，data 字段值必须为 base64 编码后的 []byte，type（如 v1.secrettypeopaque）和 namespace 必须显式设置；读取时需 base64.decodestring 反解；update 必须携带最新 resourceversion；list 时注意命名空间与性能。
怎么用 client-go 创建 Secret 对象
Secret 不是直接写 YAML 丢进去就行，得构造 v1.Secret 结构体，再调用 Create()。关键点在于 Data 字段必须是 map[string][]byte，所有值都得是 base64 编码后的字节切片——哪怕你传的是明文字符串，也得先 base64.StdEncoding.EncodeToString() 再转成 []byte。
常见错误：直接把原始字符串塞进 Data，比如 map[string][]byte{"password": []byte("mypass")}，K8s 不报错但解密时会失败，因为 Secret 的 data 字段底层约定是 base64 编码内容。
- 务必对每个 value 手动 base64 编码：
base64.StdEncoding.EncodeToString([]byte("raw")) -
Type别漏设，常用v1.SecretTypeOpaque；如果是 TLS 类型，得用v1.SecretTypeTLS并确保含tls.crt和tls.key - 命名空间（
Namespace）必须显式指定，空字符串或默认 ns 都可能创建失败
怎么安全读取 Secret 的 data 字段
Secret 的 Data 是 map[string][]byte，但里面存的其实是 base64 编码后的原始数据。直接打印或日志输出 Data["password"] 看到的是乱码字节，不是明文——这是设计使然，不是 bug。
真正要用的时候，得反向 decode：base64.StdEncoding.DecodeString(string(secret.Data["password"]))。注意这里要先转 string 再 decode，否则会 panic。
- 别在日志里打
secret.Data全量内容，哪怕只是调试——它本质就是密文容器，打出来等于泄露 - 如果字段不存在（比如 key 拼错），
secret.Data["xxx"]返回 nil 切片，len()是 0，不会 panic，但后续 decode 会报illegal base64 data - 某些 Secret（如
kubernetes.io/service-account-token）的Data包含二进制证书，不能当 UTF-8 字符串处理
Update Secret 时为什么老被拒绝？
Update() 调用失败十有八九是因为没带 ResourceVersion。client-go 的更新是乐观并发控制，必须从上次 Get 或 List 结果里取出 secret.ResourceVersion，原样塞进新对象的 ObjectMeta.ResourceVersion 字段里，否则 K8s 返回 409 Conflict 错误。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
错误现象：Operation cannot be fulfilled on secrets "my-secret": the object has been modified; please apply your changes to the latest version and try again。
- 每次 Update 前必须重新
Get()一次，拿最新ResourceVersion，不能复用旧对象 - 如果只是想覆盖全部字段，用
Update()；如果只想改某几个 key，建议先Get()，修改Datamap，再Update() - 注意
Update()会全量替换Data，删掉没出现在新 map 里的 key——这不是 patch，别指望它“局部更新”
用 client-go 列表 Secret 时要注意什么
List() 默认只查 default ns，想跨 ns 必须用 clientset.CoreV1().Secrets("myns").List()；想查所有 ns，得用 clientset.CoreV1().Secrets("").List() 并加 metav1.ListOptions{FieldSelector: "metadata.namespace!=default"}——但更稳妥的是循环遍历 namespace 列表，或者用 clientset.CoreV1().Secrets(metav1.NamespaceAll).List()。
性能影响：集群 Secret 多了以后，List() 全量拉取很慢，且容易触发 apiserver 限流。生产环境别在高频路径里无条件 List。
- 除非真需要全部 Secret，否则优先用
Get()查单个，或加LabelSelector过滤 -
List()返回的Items是浅拷贝，修改它不会影响缓存或下一次 Get，但别拿它去 Update——ResourceVersion可能已过期 - RBAC 权限要开足：
secrets/list、secrets/get是基础，跨 ns 还要secrets/list在""ns 下
Secret 的 Data 字段永远是 base64 编码字节流，client-go 不做自动编解码——这点和 kubectl create secret 的行为不一致，也是最容易掉坑的地方。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
