必须用 client-go 而非裸 HTTP，因其自动处理认证刷新、410 重同步、resourceVersion 递增、WatchEvent 解析、TLS 双向认证及强类型资源；初始化 config 需按 in-cluster/kubeconfig/手动三种场景适配，漏设 CAData 最易 panic。
直接用 client-go 是唯一可行的生产级方案，别试图手写 HTTP 请求调 Kubernetes API —— 认证、重试、watch 机制、资源版本处理全得自己实现，成本远超收益。
为什么必须用 client-go 而不是裸 HTTP
Kubernetes API 不是普通 REST 接口：Bearer Token 过期需自动刷新、410 Gone 要触发 list+watch 重同步、resourceVersion 必须严格递增、WatchEvent 流式响应需按帧解析。这些逻辑 client-go 已封装进 SharedInformer 和 RESTClient，裸调只会卡在 401 或 watch 断连不重连。
-
client-go自动处理 TLS 双向认证（ca.crt+client.crt+client.key） - 所有核心资源（
Pod,Deployment等）都有强类型 Go struct，避免 JSON 字段拼写错误 - 支持
DynamicClient操作 CRD，无需为每个 CRD 手动生成 clientset
初始化 rest.Config 的三种典型场景
配置对象决定 client 如何连集群，不同环境来源完全不同，不能硬编码。
- 在 Pod 内运行：用
rest.InClusterConfig()，自动读取/var/run/secrets/kubernetes.io/serviceaccount/下的 token 和 ca - 本地调试：用
clientcmd.BuildConfigFromFlags("", kubeconfigPath)，依赖~/.kube/config或指定路径 - 跨集群或无 kubeconfig：手动构造
rest.Config，必须显式设置Host、BearerToken、TLSClientConfig.Insecure（仅测试）和TLSClientConfig.CAData
漏设 TLSClientConfig.CAData 是最常见 panic 原因 —— client-go 默认拒绝不带 CA 的 HTTPS 连接。
立即学习“go语言免费学习笔记（深入）”；
操作 Pod 的最小可运行示例
以下代码能真正跑通 list/watch，不是玩具：
package main
import (
"context"
"fmt"
"time"
metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
"k8s.io/client-go/kubernetes"
"k8s.io/client-go/tools/clientcmd"
"k8s.io/client-go/rest"
)
func main() {
var config *rest.Config
var err error
// 优先尝试 in-cluster，失败则 fallback 到 kubeconfig
if config, err = rest.InClusterConfig(); err != nil {
config, err = clientcmd.BuildConfigFromFlags("", "/root/.kube/config")
if err != nil {
panic(err)
}
}
clientset, err := kubernetes.NewForConfig(config)
if err != nil {
panic(err)
}
ctx, cancel := context.WithTimeout(context.Background(), 10*time.Second)
defer cancel()
pods, err := clientset.CoreV1().Pods("default").List(ctx, metav1.ListOptions{})
if err != nil {
panic(err)
}
fmt.Printf("found %d pods\n", len(pods.Items))
}
注意：metav1.ListOptions{} 为空时会返回全部 Pod；加 FieldSelector: "status.phase=Running" 可过滤状态；Limit: 500 防止大 namespace 下 OOM。
Watch Deployment 变更并触发回调
不要用轮询，用 Watch 实现事件驱动：
- Watch 返回
watch.Interface，其ResultChan()是阻塞 channel，每次推送一个watch.Event -
Event.Type是Added/Modified/Deleted，Event.Object是具体资源实例（需断言为*appsv1.Deployment） - 务必用
context.WithCancel控制生命周期，否则 goroutine 泄漏 - Watch 可能因网络中断关闭，需捕获
err != nil并重试（client-go的RetryWatcher封装了该逻辑）
真实项目里，90% 的 Watch 问题出在没处理 Event.Type == "ERROR" 场景 —— 此时 Event.Object 是 metav1.Status，要检查 Status.Reason 是否为 Expired，然后重新 List 获取最新 resourceVersion。
