最贴近kubectl apply --dry-run=client的方式是用client-go的Scheme解码校验：先获取scheme.Scheme.DeepCopy()，再用UniversalDeserializer.Decode，随后ConvertToVersion统一版本，并注册CRD；需手写镜像、键名等语义规则校验，且client-go版本不得低于集群版本。
用 client-go 加载并校验 Kubernetes YAML 配置文件
直接用 Go 解析 YAML 并调用 client-go 的 Scheme 进行结构校验，是最贴近 kubectl apply --dry-run=client 的方式。关键不是“能不能解析”，而是“是否符合 API Server 接受的类型定义”。
常见错误：把 YAML 当普通结构体反序列化（比如用 yaml.Unmarshal 到 map[string]interface{}），跳过类型注册和默认值填充，导致校验失效。
- 必须使用
scheme.Scheme.DeepCopy()获取带所有内置资源注册的 Scheme 实例 - 先用
runtime.Decode解码原始字节，而非直接yaml.Unmarshal - 解码后调用
scheme.ConvertToVersion统一转为存储版本（如v1），避免因 API 版本混用漏检 - 对
CustomResourceDefinition等扩展资源，需提前用AddKnownTypes注册其 Scheme
decoder := serializer.NewCodecFactory(scheme).UniversalDeserializer()
obj, _, err := decoder.Decode(yamlBytes, nil, nil)
if err != nil {
return fmt.Errorf("decode failed: %w", err)
}
// obj 是 runtime.Object，已通过 GroupVersionKind 校验
校验 Deployment 中容器镜像是否为空或含非法字符
API Server 不会拒绝空 image 字段（它会被设为默认值 nginx），但生产环境必须显式声明。Golang 校验要覆盖这类语义规则，不能只依赖 OpenAPI Schema。
典型场景：CI 流水线中拦截低风险但高发的配置疏漏。
- 遍历
obj.(*appsv1.Deployment).Spec.Template.Spec.Containers，检查container.Image是否为空字符串或仅含空白符 - 用
strings.ContainsAny(container.Image, `#?&`) 检查 URL 片段符号（镜像名中不应出现）
- 对私有 registry 镜像（如
reg.example.com/app:v1），建议额外验证strings.Count(container.Image, "/") >= 2防止误写成app:v1 - 注意：
InitContainers同样需要校验，且字段路径为.Spec.Template.Spec.InitContainers
检查 ConfigMap/Secret 数据键名是否符合 DNS-1123 子域规范
Kubernetes 要求 ConfigMap 和 Secret 的 data / stringData 键名必须满足 [a-z0-9]([-a-z0-9]*[a-z0-9])?，否则 API Server 会返回 Invalid value 错误。Go 层面需提前拦截。
容易踩的坑：用 regexp.MatchString 时未加锚点 ^$，导致 "foo.bar" 这类含点的字符串被误
判为合法。
- 正则应为
^[a-z0-9]([-a-z0-9]*[a-z0-9])?$ - 对
stringData和data两个 map 都要遍历校验（二者互斥，但工具需兼容） - 注意：Base64 编码后的
data值本身无需校验格式，只校验 key - 若发现非法 key，建议返回具体位置信息，例如
configmap.yaml: data["my.key"] violates DNS-1123
避免 client-go 版本与集群 API 不匹配导致的静默校验失败
client-go 的 scheme 是编译期绑定的，v0.26.x 的 scheme 不认识 v1.28 新增的 PodDisruptionBudget.spec.unhealthyPodEvictionPolicy 字段 —— 解码时会直接丢弃该字段，不报错也不警告。
这意味着：你本地校验通过的 YAML，在新版集群上可能因字段缺失而行为异常。
- 始终让
client-go版本 ≥ 目标集群版本（如集群是 v1.27，client-go 至少用 v0.27.x） - 在 CI 中注入
KUBERNETES_VERSION环境变量，动态选择 client-go tag 构建校验器 - 对无法升级 client-go 的旧项目，可用
kubectl convert --output-version=apps/v1预处理 YAML，再交由 Go 校验 - 不要依赖
Unstructured的通用解码做深度校验 —— 它绕过所有类型约束，只保证 JSON 语法正确
真正难的不是写校验逻辑，而是厘清哪些规则属于 API Server 强制执行（可由 Scheme 捕获），哪些属于团队约定（必须手写业务规则）。后者永远需要人来维护。
