kubeconfig是kubernetes客户端身份认证和连接的事实凭证，决定go程序能否连上集群及权限级别；需用绝对路径加载、权限设为600、正确配置server/ca/证书或token，并区分buildconfigfromflags（本地）与inclusterconfig（pod内）使用场景。
kubeconfig 文件不是“教程对象”，而是 Kubernetes 客户端身份认证和连接的事实凭证。它直接决定你的 Go 程序能否连上集群、以什么权限操作资源——写错路径、用错上下文、证书过期，clientset.CoreV1().Pods("").List() 就会直接 panic 报 x509: certificate has expired or is not yet valid 或 Unauthorized。
怎么加载本地 kubeconfig 文件（比如 ~/.kube/config）
这是开发/调试最常用的方式，但容易卡在路径拼接或权限上。
-
clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig")第一个参数留空表示不从命令行 flag 读取--master地址；第二个参数必须是**绝对路径**，~/不会被自动展开，得用os.Getenv("HOME")拼 - 如果
kubeconfig里有多个 context（比如minikube、aws-prod），默认用current-context；要切环境，得显式设置：config.CurrentContext = "aws-prod" - 文件权限必须是
600（仅属主可读写），否则 client-go 会静默拒绝加载（不报错，但后续所有 API 调用都返回Unauthorized）
怎么在 Pod 里用 InClusterConfig 自动获取配置
部署到集群内部的 Go 服务（比如 Operator、监控采集器）不该硬编码 kubeconfig 路径，而应走 ServiceAccount 自动挂载的 token 和 CA。
- 调用
rest.InClusterConfig()即可，它会自动读取/var/run/secrets/kubernetes.io/serviceaccount/下的token、ca.crt和namespace - 注意：该方式**只在 Pod 内有效**，本地运行会 panic 报
open /var/run/secrets/kubernetes.io/serviceaccount/token: no such file or directory - ServiceAccount 必须已绑定 RBAC 权限，否则即使连上了，
clientset.CoreV1().Pods("default").List()仍会返回Forbidden
kubeconfig 里哪些字段 Go 客户端真正在意
你不需要理解整个 YAML 结构，但以下三块字段直接影响 client-go 行为：
-
clusters[].cluster.server：API Server 地址，必须可路由。若用https://kubernetes.default.svc，需确保 Pod DNS 可解析（默认可以） -
clusters[].cluster.certificate-authority-data或certificate-authority：CA 证书内容或路径，用于验证 server TLS。如果用自签名证书且没配对，就会报 x509 错误 -
users[].user.client-certificate-data+client-key-data（或对应文件路径）：客户端证书+私钥，用于双向 TLS 认证。InClusterConfig 下走的是 bearer token，不走这组
为什么 BuildConfigFromFlags 总 panic，但 InClusterConfig 却能连上
这不是代码问题，而是环境假设错位。
- 你在本地跑
BuildConfigFromFlags，却用了生产集群的kubeconfig，而该文件里的server地址（如内网 VIP 或私有 DNS）本地根本访问不到 - 反过来，在 Pod 里硬写
BuildConfigFromFlags("", "/etc/kubernetes/kubeconfig")—— 该路径压根不存在，/etc/kubernetes/是 control plane 节点上的目录，worker 节点 Pod 里只有/var/run/secrets/... - 更隐蔽的坑：
kubeconfig里用了exec插件（比如 aws-iam-authenticator、gke-gcloud-auth-plugin），client-go 默认不支持，得自己注册插件或换用k8s.io/client-go/plugin/pkg/client/auth初始化
kubeconfig 的本质是连接凭据，不是配置模板。它的正确性取决于：路径对不对、上下文选没选对、证书有没有过期、网络能不能通、RBAC 权限够不够——漏掉任何一环，Go 程序就只是个安静的失败者。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
