因为ebpf程序中存连接信息的map类型选错：tcp四元组必须用bpf_map_type_hash或lru_hash，而bpf_map_type_array只支持整数key，无法存储struct key；且key字段顺序、对齐、大小端需与内核严格一致，否则memcmp失败导致lookup为空。
为什么用 bpf_map_lookup_elem 查连接状态总返回空？
因为 eBPF 程序里存连接信息的 map 类型选错了。TCP 连接四元组（源IP/端口、目标IP/端口）必须用 BPF_MAP_TYPE_HASH 或 BPF_MAP_TYPE_LRU_HASH，不能用 BPF_MAP_TYPE_ARRAY——后者只支持整数 key，没法存 struct key。常见错误是直接把 struct sock_key 当作数组下标传进去，结果 lookup 永远失败。
实操建议：
- 定义 key 结构时字段顺序要和内核一致（比如
__be32 saddr必须在__be32 daddr前），否则 memcmp 失败 - 用户态用
github.com/cilium/ebpf库时，key 类型需显式标记//go:binary-only-package并确保 struct 字段对齐（加_ [0]byte补齐） - 查 map 前先用
bpf_map_get_next_key遍历确认 map 里真有数据，排除 eBPF 程序没触发的问题
抓不到 SYN 包？检查 tracepoint/net/net_dev_start_xmit 和 kprobe/tcp_v4_connect 的覆盖场景
单纯挂 xdp 或 tc 程序会漏掉本地发起的连接：XDP 在驱动层太早，还没到 IP/TCP 栈；TC 在 qdisc 层又太晚，部分连接已建立。真实统计必须组合多个 hook：
-
kprobe/tcp_v4_connect捕获主动 connect() 调用，此时可取sk->sk_daddr/sk_dport -
kretprobe/tcp_v4_connect检查返回值，过滤失败连接 -
tracepoint/syscalls/sys_enter_accept4捕获被动连接，配合sockfd_lookup_light提取 socket 地址 - 用
uprobe钩住 Go runtime 的net.(*netFD).connect可补全 Go 原生 net.Conn 的连接（避免被内核 bypass）
注意：tcp_v4_connect 在某些内核版本（如 5.15+）被 inline，需改用 tcp_connect 或启用 CONFIG_KPROBE_EVENTS_ON_NOTRACE。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
Go 用户态怎么安全读取 eBPF map 中的连接计数？
直接循环 Map.Lookup() 会阻塞，且并发读写 map 可能触发 invalid argument 错误（eBPF map 不是线程安全的）。正确做法是：
- 用
Map.GetNextKey()+Map.Lookup()组合遍历，避免 key 冲突导致的 skip - 每次读取后立即调用
Map.Delete()清空旧条目（适合流式统计），或用BPF_MAP_TYPE_PERCPU_HASH让每个 CPU 写独立副本再聚合 - Go 结构体 tag 必须和 eBPF C 端完全一致：
`ebpf:"saddr"`对应 C 的__be32 saddr，大小端错一位就解析成 0 - 别用
unsafe.Pointer强转 map value，用binary.Read解析字节流更稳（尤其涉及 padding 字段）
为什么 bpf_probe_read_kernel 读 sk->__sk_common.skc_daddr 总失败？
因为 Go 编译的二进制默认开启 -buildmode=pie，导致内核符号地址随机化，bpf_probe_read_kernel 无法定位字段偏移。解决方案不是关 PIE（不安全），而是：
- 用
libbpfgo的LoadPinnedObjects加载预编译的 BTF 信息，让 eBPF verifier 自动计算偏移 - 在 C 端用
bpf_core_read替代bpf_probe_read_kernel，CORE（Compile-Once Run-Everywhere）机制能自动适配不同内核结构体布局 - 检查
/sys/kernel/btf/vmlinux是否存在，缺失则需安装对应内核的kernel-debuginfo包
最常被忽略的是：eBPF 程序里对 struct sock 的字段访问必须通过 bpf_core_read(&daddr, &sk->sk_daddr) 形式，硬编码 offset 在 5.10+ 内核上必然失败。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
