最轻量可靠方式是直接读取/proc/net/dev：跳过前两行表头，用冒号分割提取网卡名，再以std::istringstream解析后续16字段，取索引1的rx_bytes和索引9的tx_bytes（0-based），两次采样差值除以steady_clock时间间隔得实时速率。
Linux 下读取 /proc/net/dev 是最轻量且可靠的方式
直接解析 /proc/net/dev 文件，是获取网卡实时流量（rx_bytes、tx_bytes）最通用、无依赖、零权限提升要求的方法。内核保证该接口稳定，所有主流发行版都支持，且更新频率与内核收发软中断同步，延迟通常在毫秒级。
注意字段偏移：每行格式为 iface: rx_bytes ... tx_bytes ...，冒号后有 16 字段，第 2 个是接收字节数，第 10 个是发送字节数（从 0 开始计数）。别用空格简单 split——部分驱动会在 iface 名后加多个空格或制表符，必须用冒号切分再 trim。
示例关键逻辑：
std::ifstream dev{"/proc/net/dev"};
std::string line;
while (std::getline(dev, line)) {
auto pos = line.find(':');
if (pos == std::string::npos) continue;
std::string iface = line.substr(0, pos);
trim(iface); // 自行实现或用 std::regex_replace
if (iface != "eth0" && iface != "wlan0") continue;
std::istringstream iss(line.substr(pos + 1));
std::vector<unsigned long long> fields;
for (int i = 0; i < 16; ++i) {
unsigned long long v = 0;
iss >> v;
fields.push_back(v);
}
uint64_t rx_bytes = fields[1];
uint64_t tx_bytes = fields[9]; // 注意：是索引 9，不是 10（0-based）
}
getifaddrs() 只能查配置，不能替代流量统计
getifaddrs() 返回的是接口地址、MTU、标志等静态属性，它不暴露任何计数器。有人误以为配合 AF_PACKET socket 能“监听”流量，但那是抓包行为，开销大、需 root、且无法区分协议栈路径（如 iptables DROP 后的包不会进用户态），完全不适合做流量监控。
立即学习“C++免费学习笔记（深入）”；
真正需要内核层监控时，应转向：
-
/sys/class/net/<iface>/statistics/</iface>：提供更细粒度字段（如rx_packets、tx_errors），但部分老内核或虚拟网卡可能缺失 -
ethtool -S <iface></iface>输出：需调用子进程并 parse，适合调试，不适合高频采集 - eBPF 程序：可精确 hook 到
tc或xdp层，但开发复杂、需加载特权、兼容性差
两次采样求差值时务必处理 uint64_t 回绕和时间对齐
网卡计数器是无符号 64 位，Linux 内核不会清零，但用户程序若间隔太久（如几小时）才采样，两次差值可能因溢出变负（实际是回绕）。C++ 中 uint64_t 减法自动按模运算，无需额外判断溢出，但你要确保「后一次值 ≥ 前一次值」——如果发现 new_rx ，说明发生了回绕，应按 <code>new_rx + (2^64 - old_rx) 计算，不过实践中只要采样间隔 ≤ 1 秒，千兆网卡也几乎不可能回绕（理论最大回绕周期约 58 万年）。
更现实的问题是时间对齐：别用 std::chrono::system_clock，它受 NTP 调整影响，会导致速率计算跳变。改用 std::chrono::steady_clock，并记录每次采样的绝对时间戳，用差值除以真实流逝时间（非固定 sleep 间隔）。
关键点：
- 每次读
/proc/net/dev后立刻记录steady_clock::now() - 速率 =
(bytes_new - bytes_old) / duration_cast<double>(time_new - time_old)</double> - 避免用
sleep_for(1s)控制频率——磁盘 I/O 和调度延迟会让实际间隔漂移
容器或 network namespace 下需挂载宿主机 /proc 或切换 ns
在容器中，默认只能看到当前 netns 的 /proc/net/dev，而多数容器运行时（如 Docker）会隔离 netns，导致你读到的是空或仅 loopback。解决方案只有两个：
- 启动容器时加
--privileged或--cap-add=NET_ADMIN，然后用setns()切换到 host netns（需打开/proc/1/ns/net） - 更安全的做法：挂载宿主机
/proc到容器内（-v /proc:/host-proc:ro），然后读/host-proc/net/dev
不要尝试通过 cgroup v2 的 net_classid 或 pids 统计——那统计的是进程维度，不是接口维度，且无法区分进出方向。
内核监控接口本身没有“开关”，但如果你看到某网卡在 /proc/net/dev 中消失，大概率是驱动卸载、热插拔未触发 udev、或该接口被 ip link set down。此时字段值不再更新，但文件仍存在。检测是否活跃，应结合 operstate（读 /sys/class/net/eth0/operstate）而非仅依赖计数器变化。
