因为net/http中间件在流量洪峰已进入协议栈、占用内核资源后才处理，无法避免系统压垮；而xdp bpf在网卡dma后、协议栈前纯寄存器运算丢包，单核可达百万pps，真正实现前置拦截。
为什么不用 net/http 中间件做限频，而要上 BPF？
因为中间件拦不住流量洪峰本身。当攻击包已进入协议栈、完成 TCP 握手、走到 Go 的 http.ServeHTTP 时，内核早已分配了 socket 缓冲区、触发了软中断、占用了 CPU 和内存——这时候再“拒绝”，只是把压力从网络层后移到应用层，反而更容易被压垮。
BPF（特别是 XDP 层）的作用是在数据包刚从网卡 DMA 进来、尚未进入协议栈前就丢弃。它不走 IP 层、不建连接、不触发任何内核子系统，纯靠寄存器运算判断，单核轻松处理百万级 PPS。所以高频恶意流量（如 SYN Flood、UDP 反射、端口扫描）必须在 XDP 或 cls_bpf 层过滤，而不是等它跑到 Go 里。
- 用
golang.org/x/time/rate做 per-IP 限速，只适用于已建立的 HTTP 连接，对海量短连接或伪造源 IP 的包无效 -
libpcap+ BPF filter（如"tcp port 80 and src host 192.168.1.5"）只能用于抓包分析，无法实时丢包 - 真正能拦截的只有两类：XDP 程序（需网卡支持）、tc cls_bpf（通用但延迟略高）
如何用 libbpfgo 在 Go 服务启动时加载 XDP 丢包程序
你不能在 Go 里“写 BPF 汇编”再动态编译——得提前用 clang 编译成 ELF，再由 Go 加载。典型流程是：
- 写一个 C 文件
drop_highfreq.c，用SEC("xdp")定义入口函数，用 map 存 IP+端口计数（推荐BPF_MAP_TYPE_PERCPU_HASH） - 用
clang -O2 -target bpf -c drop_highfreq.c -o drop_highfreq.o编译 - Go 侧用
libbpfgo.NewModuleFromElf(<code>drop_highfreq.o) 加载，并调用module.BPFProgramAt("xdp_drop") - 绑定到网卡：
program.AttachXDP(<code>"eth0", 0)（0表示驱动层，非 skb 层）
注意：AttachXDP 失败常见原因是网卡不支持 XDP（比如虚拟网卡 virtio_net 默认不支持），可用 ip link show eth0 查看是否有 XDP 字样；若无，改用 tc 方式：先 tc qdisc add dev eth0 clsact，再 program.AttachTC(<code>"eth0", "ingress")。
bpf_map_lookup_elem 返回 nil 不代表键不存在？
这是最常踩的坑。libbpfgo 的 Map.Lookup 方法返回 (nil, nil) 时，可能是：键确实不存在；也可能是 map 值类型为零值（比如 uint64 的 0）且未初始化；还可能是 map 使用了 PERCPU 类型，而你没指定 CPU ID。
正确做法是始终检查 error：
val, err := myCountMap.Lookup(unsafe.Pointer(&ipKey))
if errors.Is(err, syscall.ENOENT) {
// 真正不存在，可初始化
_ = myCountMap.Update(unsafe.Pointer(&ipKey), unsafe.Pointer(&initVal), 0)
} else if err != nil {
// 其他错误（如内存不足）
log.Printf("map lookup failed: %v", err)
return
}
另外，XDP 场景下别用 BPF_MAP_TYPE_HASH 存高频计数——并发更新会锁表。优先选 PERCPU_HASH，每个 CPU 自己维护一份计数，最后在用户态聚合。
Go 服务如何与 XDP 程序共享黑名单或阈值
XDP 程序不能直接读 Go 的变量，通信必须走 BPF map。推荐两个 map 配合使用：
-
ip_count_map：类型PERCPU_HASH，key 是uint32（IPv4）或[16]byte（IPv6），value 是uint64计数器 -
config_map：类型ARRAY，大小为 1，存一个结构体，含threshold uint32（每秒允许请求数）、ban_duration_sec uint32（封禁时长）
Go 侧修改配置只需 configMap.Update(unsafe.Pointer(&zeroKey), unsafe.Pointer(&newConf), 0)；XDP 程序在入口处用 bpf_map_lookup_elem(config_map, &zero_key, ...) 读一次即可。这样既避免频繁查 map，又能让运营人员热更新阈值而不重启服务。
真正的难点不在代码，而在 map key 设计和生命周期管理：IPv6 地址当 key 必须用完整 16 字节，不能截断；封禁状态不能只靠计数器，得另配一个 ban_list_map（LRU_HASH）存临时封禁项，否则重启后计数清零就失效。
