你用 Go 写了一个 kubectl 插件，文件名起成 kubectl-xxx，放到 $PATH 里，kubectl plugin list 能认出来——看起来很顺，但绝大多数人卡在第一步：连不上集群。报错信息往往是 error: the server doesn't ha ve a resource type "pod" 或者 no configuration has been provided。这个问题的根源，并不在代码逻辑本身，而是配置加载的路径没走对。
为什么 clientcmd.BuildConfigFromFlags("", "") 总失败
很多人照着 client-go 官方示例，写一行 clientcmd.BuildConfigFromFlags("", *kubeconfig)，本地调试时跑得挺好，换个机器也正常，但一旦打包成插件就崩。原因在于：kubectl 启动插件时，不会自动把 KUBECONFIG 环境变量透传给子进程。所以插件里 os.Getenv("KUBECONFIG") 的结果是空的。而 BuildConfigFromFlags 的第二个参数如果传空字符串，它根本不会 fallback 到默认路径去找配置，结果自然就崩了。
正确的做法是显式构造一套完整的配置加载规则：
- 用
clientcmd.NewDefaultClientConfigLoadingRules()拿到默认查找逻辑——它会先检查KUBECONFIG环境变量，找不到再走~/.kube/config。 - 在此基础上，套一层
clientcmd.NewInteractiveDeferredLoadingClientConfig()。这层封装的作用，是确保交互式提示（比如证书过期时）能被正常处理。 - 最后调
config.ClientConfig()，拿到 *rest.Config 对象。不要跳步，不要简化，完整走完这三步。
如何复用 kubectl 当前上下文和 namespace
插件不该自己去解析 ~/.kube/config 文件、硬读 current-context 或 namespace。client-go 其实已经提供了现成的方法，但不少开发者容易忽略这一点。具体来说：
- 加载完 config 后，调
config.Namespace()，它会返回当前上下文里实际使用的 namespace。千万不要硬编码成default。 - 如果想获取当前 context 的名字，直接用
config.CurrentContext这个字段。它是从配置文件本身读取的，不受环境变量影响。 - 不要在 flag 里单独暴露一个
--namespace参数，却不同时与 context 联动。用户切了 context，但忘了改 flag，结果查到的 namespace 是错的，这种问题排查起来特别费劲。
交叉编译后 Alpine 镜像里 panic 怎么办
Go 默认是静态链接的，但一旦代码里用到了 net 包（比如 DNS 解析）或 os/user（比如查 HOME 路径），CGO 就会被启用。CGO 打开后，编译出的二进制文件会依赖宿主机的 libc。Alpine 镜像里没有 glibc，只有 musl，于是运行时直接 panic：standard_init_linux.go:228: exec user process caused: no such file or directory。
碰到这种情况，有两条比较实际的解决路径：
- 编译时强制使用纯静态链接，加参数
CGO_ENABLED=0 go build -a -ldflags '-extldflags "-static"'。但需要注意，某些云厂商的 SDK 可能不兼容这种纯静态的构建方式。 - 换基础镜像，避开 Alpine。比如用
gcr.io/distroless/static:nonroot或debian:slim，这两者都不存在 musl 兼容问题。 - 另外，检查一下代码里是否真的需要调用
os/user.Lookup。如果只是查用户主目录，用os.Getenv("HOME")更轻量，而且不会触发 CGO 依赖。
最后，还有一个容易被忽视的细节：插件内部如果调用了 exec.Command("kubectl", "get", "pod")，子进程不会自动继承父进程的 kubeconfig 加载结果。必须手动把 KUBECONFIG 环境变量传递给子进程，否则它照样连不上集群。与其这样绕一圈，不如直接用 client-go 走 API——更可控，还能避免 shell 注入的风险。
