client-go是kubernetes服务发现的唯一合理起点：需用discovery.client探查api、监听endpointslice而非已废弃的endpoints、区分inclusterconfig与kubeconfig fallback、避免依赖dns解析、严格配置discovery.k8s.io/endpointslices rbac权限。
client-go 是 Go 实现 Kubernetes 服务发现的唯一合理起点。不依赖它，你就是在重复造轮子、绕开 RBAC、忽略资源版本控制，最终掉进 DNS 缓存、Endpoint 滞后、Watch 断连重试这些坑里。
用 client-go 的 ListWatch 监听 EndpointSlice 而不是 Endpoints
Endpoints 资源在 v1.22+ 已被标记为 deprecated，新集群默认启用 EndpointSlice（需开启 EndpointSlice feature gate）。直接监听 Endpoints 会导致：
- 在启用了
EndpointSlice的集群中收不到更新（哪怕资源存在） - 大规模服务下
Endpoints对象体积膨胀，List 延迟高、内存占用大 -
EndpointSlice支持分片、拓扑感知（topology-aware routing），是云原生服务发现的事实标准
正确做法是：
- 检查集群是否支持
discovery/v1：用discovery.Client查询/apis/discovery.k8s.io/v1 - 优先使用
discoveryv1.EndpointSlices客户端，而非corev1.Endpoints - Watch 时带上
LabelSelector过滤目标 Service，例如endpointslice.kubernetes.io/managed-by=endpoint-controller.k8s.io和kubernetes.io/service-name=my-service
rest.InClusterConfig() 在本地调试时必然失败
这个函数只在 Pod 内运行时有效，它依赖 /var/run/secrets/kubernetes.io/serviceaccount/ 下的 token 和 ca.crt。你在本地 go run main.go 时调它，会 panic：open /var/run/secrets/kubernetes.io/serviceaccount/token: no such file or directory。
必须做 fallback：
- 先检查环境变量
KUBERNETES_SERVICE_HOST是否存在（Pod 内自动注入） - 不存在就走
clientcmd.BuildConfigFromFlags("", kubeconfigPath)，路径建议设为~/.kube/config或通过 flag 传入 - 别硬编码
/path/to/kubeconfig—— 这会让 CI/CD 环境直接挂掉
示例片段：
func getRestConfig() (*rest.Config, error) {
if os.Getenv("KUBERNETES_SERVICE_HOST") != "" {
return rest.InClusterConfig()
}
return clientcmd.BuildConfigFromFlags("", filepath.Join(os.Getenv("HOME"), ".kube", "config"))
}
Service DNS 解析不能替代 API 监听
直接 net.Resolver.LookupHost 解析 my-service.default.svc.cluster.local 看似简单，但：
- DNS 返回的是 ClusterIP（如果 Service 是 ClusterIP 类型），不是真实 Pod IP
- 即使 Service 是 Headless（
clusterIP: None），CoreDNS 默认只返回 A 记录，不包含端口；你需要额外查 SRV 记录（_http._tcp.my-service.default.svc.cluster.local），且要确保 kube-dns/CoreDNS 配置了srv插件 - DNS TTL 导致变更延迟，Pod Ready → DNS 更新可能长达 30 秒（取决于配置）
- 无法感知 Pod 的 readiness probe 状态，容易把流量打到未就绪实例
所以 DNS 只适合极简场景（如启动时一次性获取），服务发现主链路必须走 EndpointSlice Watch + 本地缓存。
RBAC 权限漏掉 endpointslices 就会静默失败
很多人配了 endpoints 的 get/list/watch 权限，却忘了加 endpointslices。结果是 Watch 不报错，但 ResultChan() 一直空着 —— 因为 API Server 根本不发事件给你。
ServiceAccount 绑定的 Role 必须显式包含：
rules: - apiGroups: ["discovery.k8s.io"] resources: ["endpointslices"] verbs: ["get", "list", "watch"]
注意：apiGroups 是 discovery.k8s.io，不是 "" 或 core；resources 是复数 endpointslices，不是 endpointslice。
真正难的不是写几行 Watch 代码，而是把 EndpointSlice 的 Ports、Topology 字段和你的负载均衡策略对齐，再把断连重试、本地缓存一致性、客户端健康检查这些细节串起来。这些地方没日志、没错误提示、只有请求超时和 503，最容易被忽略。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
