Go标准库禁用原始套接字是出于安全设计，需通过syscall在Linux/macOS/Windows上手动构造IP头并设IP_HDRINCL，注意权限、校验和、源IP匹配及容器环境限制。
Go 里没有 socket(AF_INET, SOCK_RAW, ...) 的标准库支持
Go 标准库的 net 包刻意屏蔽了原始套接字能力，net.ListenIP 和 net.DialIP 只能操作三层以上（即 IP 层之上的 TCP/UDP），无法构造自定义 IP 头或发送无协议校验和的数据包。这不是遗漏，是设计选择：防止普通应用误用 raw socket 引发安全或网络问题。
真正需要构造 IP 头（比如写 ICMP 探测、自定义隧道、协议栈实验），必须绕过标准库：
- Linux 下用
syscall.Socket+syscall.SetsockoptInt开启IP_HDRINCL，再手动填充IP header + payload - macOS 不支持
IP_HDRINCL，只能用BPF（需 root + 特殊权限） - Windows 需要
WSASocket+IP_HDRINCL，且仅限管理员权限
Linux 上用 syscall 构造带自定义 IP 头的包
核心是三步：创建 raw socket → 设置 IP_HDRINCL → 自己填满整个 IP 数据报（含 IP 头 + 上层数据）。Go 的 syscall 包可完成，但要注意字节序、校验和、字段对齐。
常见错误现象：bind: permission denied（没加 sudo）、invalid argument（IP 头长度不对或校验和为 0）、发出去的包被内核静默丢弃（IP_HDRINCL 没设成功）。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
-
IPPROTO_RAW是创建 socket 时的 protocol 参数，不是IPPROTO_ICMP—— 后者会让内核自动补 IP 头 - IP 头中
TotalLength字段必须是整个 IP 包长度（header + payload），且用 network byte order（大端） -
Checksum字段在启用IP_HDRINCL后必须由用户计算并填入，不能为 0；可用binary.BigEndian.PutUint16(buf[10:12], checksum)写入 - 目标地址填在 IP 头的
DstIP字段，sendto的sockaddr_in地址结构里的sin_addr可以填 0（因为头里已有）
// 简化示意：构造一个最小 IP 头（20 字节）+ 8 字节 payload hdr := make([]byte, 20) hdr[0] = 0x45 // IPv4 + IHL=5 hdr[1] = 0x00 // DSCP/ECN binary.BigEndian.PutUint16(hdr[2:4], uint16(len(hdr)+8)) // TotalLength binary.BigEndian.PutUint16(hdr[4:6], 0) // ID binary.BigEndian.PutUint16(hdr[6:8], 0x4000) // Flags + FragOffset hdr[8] = 64 // TTL hdr[9] = 0x01 // Protocol (ICMP) hdr[10] = 0x00 // Checksum placeholder（稍后填） hdr[12] = 192; hdr[13] = 168; hdr[14] = 1; hdr[15] = 1 // SrcIP hdr[16] = 192; hdr[17] = 168; hdr[18] = 1; hdr[19] = 2 // DstIP
别直接用 net.Interface.Addrs() 获取本地 IP 来填源地址
Raw socket 发包时，源 IP 必须和实际出口网卡匹配，否则路由失败或触发反向路径过滤（RPF）。net.Interface.Addrs() 返回的是接口配置的 IP，但不保证该接口是默认路由出口。
更可靠的做法是查路由表，或者用 net.Dial("udp", "8.8.8.8:53") 连一个外部地址，再从 LocalAddr() 提取实际使用的源 IP —— 这模拟了真实出向路径。
- 如果填错源 IP（比如填了 loopback 或未启用的 IP），包可能发不出，tcpdump 里看不到，也无错误返回
- 某些云环境（如 AWS EC2）禁用非主网卡 IP 的 raw socket 发包，即使权限够也会静默失败
- IPv6 下类似，但要用
IPV6_HDRINCL，且结构体布局和校验和算法不同
第三方库不是银弹，gopacket 也要 root 权限
有人会立刻想到 github.com/google/gopacket，它封装了底层细节，支持跨平台 raw socket 抽象。但注意：gopacket 的 afpacket（Linux）或 pcap（macOS/Windows）后端仍需 root 或 administrator 权限，且默认只提供抓包能力；发包仍依赖 pcap.Inject 或 afpacket.WriteTo，本质还是调用系统 raw socket。
它省去的是手动填 IP 头、算校验和、处理字节序，但不会绕过权限检查或内核限制。如果你只是想发个 ping，用 golang.org/x/net/icmp 更轻量；真要改 IP 头字段（比如伪造 TTL、设置特定 TOS），还是得回到 syscall 层。
容易被忽略的一点：raw socket 在容器里默认被禁用。Docker/Kubernetes 需显式加 --cap-add=NET_RAW，且 PodSecurityPolicy 或 PodSecurityAdmission 可能拦截。不是代码问题，是运行时环境卡住。
