go-containerregistry 默认能拉私有镜像，因其 defaultkeychain 按序查找 ~/.docker/config.json 凭据、credhelpers 或匿名访问；pod 内需挂载 imagepullsecret 为 volume 或用 init container 执行 docker login。
Go 程序本身不“同步”Kubernetes 的 imagePullSecret，它也不直接读取 Kubernetes Secret。真正起作用的是：Go 程序（比如用 go-containerregistry 或 client-go）是否能复用本地 Docker 凭据，或能否按 Kubernetes 的约定解析出等效认证信息。关键不在“同步”，而在“复用路径是否对得上”。
为什么 go-containerregistry 默认就能拉私有镜像
go-containerregistry 的 authn.DefaultKeychain 会按固定顺序查找凭证：
- 先查
~/.docker/config.json中auths字段下对应 registry 的 base64 编码凭据 - 再尝试调用
credHelpers（如docker-credential-gcloud） - 最后 fallback 到匿名访问
只要你已在宿主机执行过 docker login https://harbor.example.com，且 ~/.docker/config.json 里有对应条目，pkg/v1/remote.Image 就能自动拿到 AuthConfig，无需额外同步任何 Kubernetes Secret。
手动把 Kubernetes imagePullSecret 转成 Docker config 格式
某些场景下（比如离线环境、CI 节点没配 docker login），你得从 Kubernetes Secret 提取凭据并构造合法的 .dockerconfigjson 内容：
- 用
kubectl get secret regcred -o jsonpath='{.data.\.dockerconfigjson}' | base64 -d解码出原始 JSON - 该 JSON 是标准 Docker 配置格式，可直接写入临时文件供
authn.Keychain加载 - 或在 Go 里用
authn.FromConfig构造 Keychain：cfg := &authn.DockerConfig{Auths: map[string]authn.AuthConfig{...}}<br>keychain := authn.FromConfig(cfg)
注意：imagePullSecret 类型必须是 kubernetes.io/dockerconfigjson，不是 generic；否则解码后结构不合法，authn 包会静默忽略。
在 Kubernetes Pod 里运行 Go 程序时怎么获取凭证
Pod 内的 Go 程序无法直接访问宿主机的 ~/.docker/config.json，也不能读取其他命名空间的 Secret。可行路径只有两条：
- 把
imagePullSecret挂载为 Volume（type: secret），然后在容器内读取挂载路径下的.dockerconfigjson文件，并传给authn.FromConfigFile - 或者更简单：在 Pod 启动前，用 Init Container 执行
docker login，把凭据写入容器内/root/.docker/config.json（需容器镜像含dockerCLI 且有写权限）
后者看似绕，但避免了 Go 程序自己解析 Secret 的逻辑，也兼容所有基于 DefaultKeychain 的库（比如 krane、vcluster 的 OCI 解包流程）。
最易被忽略的一点：Harbor 等仓库要求 registry 地址带 https:// 前缀，而 Kubernetes Secret 里的 docker-server 字段通常只存域名（如 harbor.example.com）。authn 包内部会做匹配，但若你手动生成配置，必须确保 auths 的 key 和实际请求的 registry host 完全一致——少个 https:// 或多一个 /v2 都会导致认证失败。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
