rest.inclusterconfig() 仅在 pod 内挂载 serviceaccount 证书时成功，本地开发需显式判 err；kubeconfig 路径须绝对；list 空响应常因 rbac 或 namespace 错误；deployment selector 必须与 template labels 严格一致；watch 需重试机制或用 informer。
rest.InClusterConfig() 在非集群环境直接 panic
本地开发时调用 rest.InClusterConfig() 会立即返回 error，不是 nil，更不会 fallback——它只在 Pod 内运行且挂载了 ServiceAccount 证书时才成功。硬编码这个调用又不处理错误，程序一跑就崩。
- 必须显式判断：
if config, err := rest.InClusterConfig(); err == nil才用它 - fallback 路径里，
clientcmd.BuildConfigFromFlags("", "/absolute/path/to/kubeconfig")第二个参数必须是绝对路径；用"./kubeconfig"或os.Getenv("HOME") + "/.kube/config"在容器里大概率失败 - 开发机上建议先用
kubectl config view --raw > /tmp/kubeconfig固定一个可读路径，避免环境变量干扰
clientset.CoreV1().Services(ns).List() 返回空列表但无报错
常见于 RBAC 权限不足或命名空间拼写错误——API 不报 403，而是静默返回空 Items。尤其容易忽略的是 namespace 字符串传了空值 ""，结果查的是所有命名空间（需权限）或被 apiserver 拒绝后降级为空响应。
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 检查
ServiceAccount是否绑定了view或editClusterRoleBinding（集群内运行时） - 确认传入的 namespace 名字真实存在：
clientset.CoreV1().Namespaces().Get(ctx, ns, metav1.GetOptions{})先兜底验证 - List 时别漏掉
metav1.ListOptions{Limit: 500}，默认只返回前 500 条，大集群可能截断
Clientset 初始化后调用 AppsV1().Deployments(ns).Create() 报 field is immutable
这不是 client-go 的 bug，是 Kubernetes API 层的校验：Deployment 的 Spec.Selector 一旦创建就不能改，而 client-go 默认不会帮你补全或对齐它和 Template.Labels。两者不一致，Create 就直接拒掉。
- 必须手动确保
deployment.Spec.Selector.MatchLabels和deployment.Spec.Template.Labels完全相等 - 不要依赖 YAML 转结构体后的默认值；打印出来比对：
fmt.Printf("selector: %+v, template labels: %+v", d.Spec.Selector, d.Spec.Template.Labels) - 本地调试时加
Apply替代Create（用applyconfiguration包），它能自动合并字段，降低 selector 错配概率
Watch Pods 持续断连并卡在 watch closed before any items received
这是 client-go Watch 的经典表现，根源常是 apiserver 主动关闭连接（超时、负载高、QPS 超限），而代码没实现重试逻辑。原生 Watch() 方法返回的 watch.Interface 不自动重连。
- 务必用
cache.NewSharedInformer或informers.NewSharedInformerFactory，它们内置断连重试、资源版本续传、事件队列缓冲 - 如果坚持手写 Watch，必须捕获
err != nil && strings.Contains(err.Error(), "watch closed")，然后 sleep 后重新调ListAndWatch - 别忘了设置
Config.QPS = 20和Config.Burst = 30，默认 5/10 在中等规模集群里分分钟被限流
clientset.CoreV1().Pods("default").List()，而是让这段代码在 kubeconfig 权限收紧、集群升级到 v1.28、ServiceAccount token 自动轮转、以及节点间网络抖动的生产环境里持续跑稳——这些细节藏在 error 判断分支、resourceVersion 处理、informer 启动时机里，而不是示例代码的 main 函数里。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
