怎么用 client-go 同时连多个 K8s 集群
靠多个 *rest.Config + 多个 *kubernetes.Clientset 实例，不是复用一个 client。每个集群必须独立初始化 config 和 client，否则 context 混淆、证书错用、请求发到错误集群。
常见错误现象：Unauthorized（用了 A 集群的 token 去调 B 集群 API）、connection refused（config 里 server 地址写错但没校验）、资源 list 出了别的集群的 pod（误用了全局单例 client）。
- 从 kubeconfig 文件加载时，用
clientcmd.NewNonInteractiveDeferredLoadingClientConfig指定不同clientcmd.ClientConfigLoadingRules，比如不同路径或不同 context 名 - 硬编码 config 时，确保
rest.InClusterConfig()只用于当前 Pod 所在集群；跨集群必须走rest.RESTConfigFromKubeConfig或手动构造*rest.Config - 别把
rest.Config直接传给kubernetes.NewForConfig后就扔掉——它会被 clientset 内部缓存并复用，后续修改会影响所有 client
如何安全切换集群 context 而不污染全局状态
client-go 本身没有“切换 context”的运行时机制；所谓切换，本质是换 config 实例。强行改 rest.Config.Host 或 rest.Config.BearerToken 是危险操作，会破坏并发安全，且影响已创建的 clientset 中的 transport 层。
使用场景：命令行工具（如自研 kubectl 插件）需按用户输入动态选集群；Web 后端按租户隔离集群访问。
立即学习“go语言免费学习笔记（深入）”；
- 为每个集群预建好
*kubernetes.Clientset并缓存，key 可以是 cluster name 或 context name，避免每次请求都解析 kubeconfig - 如果必须从同一 kubeconfig 文件读多个 context，用
clientcmd.NewDefaultClientConfigLoadingRules().Load()得到*api.Config，再用clientcmd.NewDefaultClientConfig(*api.Config, &clientcmd.ConfigOverrides{CurrentContext: "xxx"})提取指定 context 的 config - 注意
clientcmd.ConfigOverrides中的AuthInfo和ClusterInfo字段也能覆盖，但仅限于覆盖字段，不会合并——比如只设ClusterInfo.Server，其他字段仍来自原 context
为什么 List 请求返回空或超时，跟多集群没关系却总被怀疑
90% 的“多集群下 List 失败”其实是单个 client 配置问题：namespace 限定错误、RBAC 权限不足、kube-apiserver 地址不可达、context 指向了 minikube 但实际想连远程集群。
性能影响：并发 List 多个集群时，若没控制 goroutine 数量或没设 rest.Config.QPS/Burst，可能触发目标集群的 rate limit，表现为随机 429 或连接重置。
- 检查
clientset.CoreV1().Pods("default").List()是否显式传了metav1.ListOptions{Namespace: "default"}——不传默认是 ""（即所有 namespace），但某些集群 RBAC 不允许 list 所有 ns - 用
kubectl --context=xxx get pods -v=6看真实请求地址和 header，对比你代码里rest.Config.Host和rest.Config.BearerToken是否一致 - 给每个
rest.Config显式设置QPS: 5.0,Burst: 10，尤其当多个 client 同时跑在同一个进程里
跨集群管理时 Secret 和 ConfigMap 怎么避免硬编码凭证
别把 token、ca.crt 写死在代码或配置文件里。In-cluster 场景用 ServiceAccount + RBAC；离线 CLI 场景用 kubeconfig 文件 + fsnotify 监听变化；K8s Operator 场景用 Secret 对象挂载到 Pod 中再解析。
容易踩的坑：用 ioutil.ReadFile("/path/to/kubeconfig") 但没处理文件权限（导致 permission denied），或没校验 caData 是 base64 编码（直接当字符串用会 panic）。
- 读 kubeconfig 时优先用
clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig")，它自动处理 base64 解码、路径展开、环境变量替换 - 如果必须从 Secret 读，确保 mount 的 volume 权限是
0444，且代码里用base64.StdEncoding.DecodeString(string(data))解 ca.crt - 别用
os.Setenv("KUBECONFIG", "...")全局生效——这会影响同进程里所有 client-go 初始化逻辑，包括第三方库
真正麻烦的是证书轮转：kubeconfig 里的 user token 过期后，clientset 不会自动刷新。得自己监听 Secret 变更或定期 reload config，这不是 client-go 的责任，但你得兜底。
