关键在于配置、资源路径和参数：pod内用rest.inclusterconfig()，本地用clientcmd.buildconfigfromflags；deployment属apps/v1而非corev1；namespace必须显式传metav1.namespaceall；update/delete需resourceversion；crd推荐生成typed client而非硬写unstructured。
直接用 client-go 操作 Kubernetes 集群资源，关键不是“会不会写”，而是“配置对不对、资源路径选没选准、参数漏没漏”。错一个环节，403 Forbidden、no Auth Provider found for name "oidc"、NotFound 或静默失败都可能立刻出现。
怎么选对 config：InClusterConfig vs BuildConfigFromFlags
本地开发和集群内运行必须用不同方式初始化配置，混用必报错。
- 在 Pod 里跑？必须用
rest.InClusterConfig()—— 它读/var/run/secrets/kubernetes.io/serviceaccount/下的 token 和 ca.crt。用BuildConfigFromFlags会 panic：open /root/.kube/config: no such file or directory - 本地调试？必须用
clientcmd.BuildConfigFromFlags("", kubeconfigPath)——InClusterConfig()在本地永远失败，别试 - 如果 kubeconfig 有多个 context，得显式加载并指定：
clientcmd.NewNonInteractiveDeferredLoadingClientConfig(clientcmd.NewDefaultClientConfigLoadingRules(), &clientcmd.ConfigOverrides{CurrentContext: "prod-cluster"})
为什么操作 Deployment 总是 404 或 403
Deployment 不在 CoreV1，它属于 apps/v1，用错 client 就是白忙活。
Kubernetes Skills
下载
针对 Kubernetes 仪表板和 Web UI 的浏览器自动化。适用于与 Kubernetes Dashboard、Grafana、ArgoCD UI 或其他 Web 界面交互。需要设置 MCP_BROWSER_ENABLED=true。
- 错误写法：
clientset.CoreV1().Deployments("default").List(...)→undefined method Deployments（编译不过）或 panic - 正确写法：
clientset.AppsV1().Deployments("default").List(...) - 其他常见 GroupVersion 映射：
Ingress是networking.k8s.io/v1（1.19+），HorizontalPodAutoscaler是autoscaling/v2，CRD 则完全取决于其spec.group和spec.versions[0].name - RBAC 权限必须精确匹配：
apps/v1 deployments的权限不能靠core/v1 pods权限替代
namespace 参数漏传导致误删或查不到
clientset.CoreV1().Pods("default") 和 clientset.CoreV1().Pods("") 行为完全不同，空字符串不等于 “所有命名空间” —— 它是明确语义的 metav1.NamespaceAll。
- 查所有命名空间的 Pod：
clientset.CoreV1().Pods(metav1.NamespaceAll).List(ctx, opts)，不是Pods("") - 创建 Pod 时没设
ObjectMeta.Namespace，默认落到default，哪怕你调用的是Pods("myns")—— 接口只控制请求路径，不覆盖对象字段 - Update/Delete 必须带
ResourceVersion，否则乐观锁失败报conflict: the object has been modified；建议先Get再改再Update
CRD 资源只能用 dynamic.Client？别硬扛类型安全
面对 ingressroute.contour.io 或自研 CRD，clientset 确实无能为力，但 dynamic.Interface 不是万能胶布 —— 它绕过编译检查，把类型错误拖到 runtime。
- 必须构造
schema.GroupVersionResource，例如：contourv1alpha1.SchemeGroupVersion.WithResource("ingressroutes") - 传入对象必须是
*unstructured.Unstructured，字段全靠 map[string]interface{} 拼，metadata.name写成metadata.Name就直接BadRequest - 如果 CRD 数量固定且稳定，推荐用
controller-gen+client-gen生成 typed client，比手写 unstructured 安全得多
最常被跳过的细节：ResourceVersion 更新逻辑、GroupVersion 与 RBAC 的严格对应、以及 namespace 字段和命名空间路径参数的双重控制。这些点不手动验证一遍，线上操作很容易变成“看起来成功，实际没生效”。
