gopacket收不到包主因是网卡未启混杂模式或权限不足：linux需sudo或setcap，macos须sudo且pfctl放行，windows依赖npcap并用正确设备名；过滤syn须在openlive时设bpf表达式，解析需用layer方法而非硬索引。
gopacket 为什么收不到任何包？
根本原因通常是网卡没开启混杂模式，或者权限不足。Linux 下普通用户默认不能抓包，Windows 需要 WinPcap/Npcap 驱动支持，macOS 则依赖 pfctl 或超级用户权限。
- Linux：用
sudo setcap cap_net_raw,cap_net_admin+eip $(which go)或直接sudo ./your_program；别依赖sudo go run，它可能找不到 GOPATH 下的依赖 - macOS：必须用
sudo启动，且确保pfctl -s all没拦截 raw socket；M1/M2 芯片上还可能因 Rosetta 导致 pcap 打开失败，优先用原生 arm64 编译 - Windows：确认 Npcap 已安装并勾选“支持环回适配器”（否则抓不到 localhost 流量），
gopacket.NewPacketSource的设备名得是\Device\NPF_{...}格式，不是网卡描述名
如何正确打开网卡并过滤 TCP SYN 包？
gopacket 不自带 BPF 过滤语法校验，写错过滤表达式只会静默返回空包或 panic。真正生效的过滤必须在 pcap.OpenLive 阶段传入，而不是靠 Go 层面 if 判断。
- 用
pcap.OpenLive(iface.Name, 1600, false, 30*time.Millisecond)初始化，MTU 设为 1600 避免截断 TCP 选项（如时间戳、SACK） - 过滤必须用
handle.SetBPFFilter("tcp[tcpflags] & tcp-syn != 0")，别写成"tcp[12] & 2 != 0"—— gopacket 的 pcap 后端不保证偏移计算和内核一致 - 如果只想看本机发出的 SYN，加
and src host 192.168.1.100；注意 IP 地址得是实际网卡地址，127.0.0.1在非环回设备上永远匹配不到
解析出的 IP 层长度和 TCP 偏移对不上？
这是最常被忽略的底层细节：IPv4 头部长度字段（IHL）是 4-bit，单位是 32-bit 字（即 4 字节），而 gopacket 的 ipv4.IHL 返回的是原始值（比如 5 表示 20 字节），但 tcp.LayerType() 等方法内部会自动跳过 IP 头，你手动计算时容易漏掉这个换算。
- 别直接用
ip.Payload()[0]取 TCP 第一个字节 —— 如果 IP 头带选项（IHL > 5），payload 开头其实是 IP 选项，不是 TCP 头 - 正确做法是：先调用
ip.NetworkLayer().NetworkFlow()确认协议类型，再用packet.Layer(layers.LayerTypeTCP)获取解析后的 TCP 层，而不是硬索引 payload - 遇到
nil的tcp层，大概率是分片报文（IPv4 Fragment）或校验和错误被丢弃，gopacket 默认不重组，需手动启用gopacket.NewDecodingLayerParser+layers.IPv4组合解析
为什么用 gopacket 抓包比 tcpdump 慢一大截？
核心瓶颈不在 Go 本身，而在默认配置下频繁内存分配和同步阻塞。gopacket 的 PacketSource.Packets() 是 channel 迭代器，每次 NextPacket() 都新建 gopacket.Packet 对象，且 pcap 底层是同步读取，没有预分配缓冲区。
立即学习“go语言免费学习笔记（深入）”；
- 关键优化：用
packetSource := gopacket.NewPacketSource(handle, handle.LinkType())后，立刻设置packetSource.NoCopy = true，避免 payload 拷贝 - 禁用自动解码：传入
gopacket.DecodeOptions{Lazy: true, NoCopy: true}，只在需要时调用layer.LayerContents() - 别用
for packet := range packetSource.Packets()—— 改用for { packet, err := packetSource.NextPacket() }，配合runtime.Gosched()防止单 goroutine 占满 CPU
复杂点在于：NoCopy 模式下，packet.Payload() 返回的切片指向 pcap 内部缓冲区，下一包到来就会被覆盖。真要存包，必须显式 copy 出来，这点文档里藏得很深，容易一跑就出数据错乱。
