Go无法直接创建或切换网络命名空间，必须通过unix.Unshare()、unix.Setns()等系统调用配合Linux netns机制实现；net.InterfaceAddrs()始终返回当前进程所在命名空间的地址，未显式切换则默认为宿主机视图。
Go 本身不提供网络命名空间（network namespace）的封装，无法直接创建或切换 netns；必须调用 Linux 系统调用并配合 unshare、setns 和 clone 等底层机制 —— 想纯 Go 实现 netns 隔离，行不通。
为什么 net.InterfaceAddrs() 返回的总是宿主机地址
这是最常被误解的点：Go 的标准库网络 API（如 net.Interfaces()、net.InterfaceAddrs()）完全依赖内核的 /proc/net/ 和 getifaddrs(3)，它们读取的是**当前进程所处命名空间**下的网络视图。如果没显式进入新 netns，就永远看到宿主机的接口。
- Go 不会自动感知或切换命名空间 —— 它不是容器运行时，没有 namespace 上下文管理
- 即使你用
exec.Command("ip", "netns", "exec", "mynet", "./myapp")启动 Go 程序，真正切换 netns 的是ip netns exec进程，Go 只是子进程继承了该命名空间 - 若想在 Go 中“主动”切换，必须用
unix.Setns()打开/var/run/netns/xxxfd 后调用unix.Setns(fd, unix.CLONE_NEWNET)
如何在 Go 中调用 unshare(CLONE_NEWNET) 创建新 netns
需借助 golang.org/x/sys/unix 调用 unix.Unshare()，但注意：这仅创建 netns，不配置任何网络设备，也不自动设置 loopback。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 必须以 root 或
CAP_SYS_ADMIN权限运行，否则EPERM -
unix.Unshare(unix.CLONE_NEWNET)成功后，进程已处于新 netns，但此时lo是 down 状态，需手动 up：exec.Command("ip", "link", "set", "dev", "lo", "up").Run() - 不能在已 fork 的子进程中反复调用
Unshare—— 多数情况下应只在子进程（如fork/exec模式）中调用一次 - Go 的
os/exec启动的子进程默认继承父进程的命名空间，如需隔离，得先Unshare再Exec
用 unix.Setns() 切换到已有 netns 的典型流程
适用于接入已由 ip netns add mynet 创建好的命名空间，比如调试或复用现有容器 netns。
立即学习“go语言免费学习笔记（深入）”；
- 打开 netns 文件：
fd, _ := unix.Open("/var/run/netns/mynet", unix.O_RDONLY, 0) - 切换：
unix.Setns(fd, unix.CLONE_NEWNET)—— 注意第二个参数必须是unix.CLONE_NEWNET，不是字符串 - 关闭 fd：
unix.Close(fd)（虽非强制，但避免 fd 泄露） - 切换后立即调用
net.Interfaces()就能看到该 netns 下的真实接口，但要注意：Go 的 DNS 解析仍可能走宿主机/etc/resolv.conf，需自行挂载或替换 - 常见错误：
invalid argument多因路径错（如/var/run/netns/下无对应文件）、权限不足，或传入了错误的 flag（如写成unix.CLONE_NEWUSER）
真正难的不是调用那几个函数，而是 netns 生效后整个网络栈行为的变化：路由表、iptables 规则、ARP 缓存、conntrack 状态全都不一样。Go 程序里一个 net.Dial() 可能因路由缺失静默失败，而不是报错 —— 这类问题没法靠 Go 代码修复，得靠 ip route 和 tcpdump -n -i lo 验证上下文是否真的就位。
