libbpfgo 是当前最稳妥的 Go 加载 eBPF 方案，它直接封装内核 libbpf（v1.0+），避免兼容性问题；需启用 cgo、安装 libbpf-dev/-devel，用 clang -O2 -target bpf 编译 .o 文件，手动创建 perf event array 等 map，并注意内核权限与配置。
用 libbpfgo 加载 eBPF 程序是最稳妥的选择
Go 原生不支持 eBPF 加载，必须依赖封装了 libbpf 的绑定库。libbpfgo 是目前最成熟、更新活跃的方案，它直接调用内核 libbpf（v1.0+），避免了 cgo 链接旧版 bcc 或自研加载器带来的兼容性问题。别碰 ebpf-go（已归档）或手写 syscall 封装——前者停止维护，后者容易在 kernel 5.15+ 上因 map 类型变更或 verifier 行为差异而失败。
安装：
go get github.com/aquasecurity/libbpfgo
关键点：
- 确保系统已安装
libbpf-dev（Debian/Ubuntu）或libbpf-devel（RHEL/CentOS/Fedora） - 编译时需启用 cgo：
CGO_ENABLED=1 go build -
libbpfgo默认加载.o文件（Clang 编译产出），不是.bpf.o或.elf
Clang 编译时必须加 -target bpf 和 -O2
eBPF 字节码不是通用 ELF；缺少目标平台和优化等级会导致加载失败或 verifier 拒绝。常见错误如 invalid indirect read from stack 或 unknown opcode，往往源于未启用 -O2 导致 clang 生成非标准栈访问模式。
正确编译命令示例：
clang -O2 -target bpf -c prog.c -o prog.o
注意事项：
- 不要用
-g（调试信息会增大对象体积，某些内核版本拒绝加载过大的 program） - 必须包含
#include "bpf/bpf.h"和#include "bpf/bpf_helpers.h" - 如果使用
CO-RE，额外加-D__BPF_TRACING并用bpftool gen skeleton生成 Go 可读头文件
加载前要手动创建并预置 map，尤其 perf event array
libbpfgo 不自动创建所有 map，特别是 BPF_MAP_TYPE_PERF_EVENT_ARRAY 必须由用户显式调用 Map.Create 并设置 size（通常为 CPU 数量）。否则运行时 bpf_prog_test_run_xattr 或 attach 会返回 ENOENT 或 EINVAL。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
典型处理流程：
- 调用
module.Load()后，用module.GetMap("my_map_name")获取 map 实例 - 对 perf event array：先
map.SetMaxEntries(runtime.NumCPU())，再map.Create() - 对 hash / array map，若声明了
max_entries，Create()可省略；但建议统一显式调用以明确生命周期
示例片段：
perfMap := module.GetMap("events")<br>perfMap.SetMaxEntries(uint32(runtime.NumCPU()))<br>if err := perfMap.Create(); err != nil {<br> log.Fatal(err)<br>}
attach 失败大概率是 hook 点权限或内核配置问题
比如 tc attach 失败报 EPERM，不是代码问题，而是当前进程没 CAP_NET_ADMIN；kprobe 加载失败常因 /proc/sys/kernel/kptr_restrict > 0 或 CONFIG_KPROBE_EVENTS 未启用。
快速验证方式：
- 检查
cat /proc/sys/kernel/kptr_restrict—— 应为0或1（2会彻底禁用） - 确认
sudo cat /sys/kernel/debug/tracing/events/kprobes/是否可读 - tc 场景下，用
sudo ip link add dummy0 type dummy && sudo tc qdisc add dev dummy0 clsact先测试基础能力
Go 中 attach 调用本身很薄，真正卡住的地方永远在内核侧——别花时间改 Go 代码，先查 dmesg | tail 看 verifier 日志或 permission denied 提示。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
