XDP拦截必须由C/Clang编写的eBPF程序在网卡驱动层执行，Go仅负责加载、配置和更新；因内核校验器严格限制，Go无法生成合法eBPF字节码，所有包解析与协议判断须在SEC("xdp")段中用C实现，Go通过BPF map（如HASH类型）安全传递黑名单IP并注意网络字节序与预分配要求。
XDP拦截必须在网卡驱动层完成，Go本身不直接处理数据包，它只负责加载、配置和更新eBPF程序——所有硬拦截逻辑都在C写的xdp_prog.c里执行，Go只是“遥控器”。
为什么不能用Go写XDP处理函数
eBPF虚拟机只接受符合校验规则的字节码，而Go编译器无法生成合法的eBPF指令流。内核加载XDP程序时会严格检查bpf_prog_load()返回值，任何非C/clang生成的eBPF对象（包括Go cgo封装的裸汇编）都会被拒绝，报错invalid instruction或program too large。
- 所有包头解析（
struct ethhdr、struct iphdr）、协议判断（ip->protocol == IPPROTO_ICMP）必须用C写，在SEC("xdp")段中实现 - Go通过
libbpfgo调用bpf_object__load()加载已编译的.o文件，不是运行Go函数 - 试图用
unsafe.Pointer在Go里手动构造eBPF指令——会触发内核 verifier 拒绝，且无调试线索
Go如何安全传递黑名单IP给XDP程序
XDP程序无法直接读文件或访问网络，必须通过eBPF map共享数据。推荐使用BPF_MAP_TYPE_HASH存放IPv4地址（__u32键）+标志（__u8值），由Go端动态更新。
- 在C代码中定义map：
struct { __uint(type, BPF_MAP_TYPE_HASH); __type(key, __u32); __type(value, __u8); __uint(max_entries, 65536); } blacklist SEC(".maps"); - Go中用
Map.Update(unsafe.Pointer(&ip), unsafe.Pointer(&val), 0)插入IP，0表示BPF_ANY，避免重复失败 - 注意字节序：传入的
ip必须是网络字节序（binary.BigEndian.PutUint32()），否则127.0.0.1会被识别为0x0100007f - 不要用
BPF_F_NO_PREALLOC——XDP map必须预分配，否则Update()返回EINVAL
ICMP Flood拦截示例中容易漏掉的关键检查
直接复制网上xdp_drop_icmp.c常因边界检查缺失导致XDP_ABORTED，内核日志出现skb_linearize failed或corrupted packet。
立即学习“go语言免费学习笔记（深入）”；
- 必须验证
ctx->data_end - ctx->data >= sizeof(struct ethhdr) + sizeof(struct iphdr) + sizeof(struct icmphdr)，不能只验IP头 - ICMP类型字段在
icmphdr结构体偏移2字节，需用*(u8*)(icmp + 2)读取，而非icmp->type（结构体内存对齐可能失效） - 若网卡开启LRO/GRO，收到的可能是聚合包，此时
ip->tot_len可能大于ctx->data_end - (void*)ip，需额外校验 - 返回
XDP_ABORTED会导致包被内核丢弃并计数到/sys/class/net/eth0/statistics/xdp_aborted，应优先用XDP_DROP
上线前必须验证的三件事
很多团队在压测时才发现拦截失效，问题往往出在环境链路上，而非代码逻辑。
- 确认网卡驱动支持XDP：运行
ethtool -i eth0 | grep -q 'xdp' && echo ok，部分Realtek芯片即使内核支持也禁用XDP钩子 - 检查是否已有其他XDP程序挂载：
ip link show dev eth0 | grep xdp，重复挂载会失败，需先ip link set dev eth0 xdp off - 监控
/sys/class/net/eth0/statistics/xdp_*下的xdp_drop和xdp_pass计数，若xdp_drop始终为0，说明程序未生效或条件未命中
最易被忽略的是eBPF map大小与实际攻击规模的匹配——65536条目看似很多，但针对IPv4全量扫描（如192.168.0.0/16）时，单次攻击就可能填满map，新IP写入失败却无错误提示，Go端需定期轮询Map.GetNextKey()确认容量余量。
