scapy抓包配matplotlib绘图易卡死或丢包，根本原因是默认未设过滤、限速和缓冲控制；需root权限（Linux/macOS）或管理员+Npcap（Windows），并合理使用filter、count、timeout、prn等参数，安全提取IP层信息，规范实时绘图流程，结合store=0、队列解耦和异常包处理确保稳定性。
直接用 scapy 抓包再配 matplotlib 画图，能跑通但极易卡死或丢包——根本原因不是代码写错，而是默认抓包方式没设过滤、没限速、没缓冲控制。
为什么 sniff() 一运行就卡住或报错 PermissionError
Linux/macOS 下必须 root 权限才能访问网卡原始数据；Windows 需安装 Npcap（不是 WinPcap）并以管理员身份运行脚本。更关键的是，sniff() 默认监听所有接口所有协议，流量稍大就积压导致内存暴涨。
- 加
filter参数缩小范围，例如只抓 HTTP 流量：filter="tcp port 80" - 用
count限制抓包数量（如count=100），避免无限等待 - 配合
timeout（单位秒），防止程序挂起，比如timeout=5 - 若需持续监控，改用
prn回调函数实时处理，别把全部包存进列表
如何从原始包里提取出可用的流量统计维度
单纯画“包数量随时间变化”意义不大，真实分析依赖可聚合字段：源 IP、目标端口、协议类型、TCP 标志位、载荷长度。注意 scapy 的字段名大小写敏感且嵌套深，常见误读是把 IP().src 当成字符串直接用，其实它可能是 None 或 IPv6 地址。
- 安全提取 IP 层信息：先判断
pkt.haslayer(IP)，再取pkt[IP].src和pkt[IP].dst - 区分协议：用
pkt[IP].proto（值为 6 是 TCP，17 是 UDP），或更直观地用pkt.haslayer(TCP) - 计算流量体积：用
len(pkt)（整个包字节数），不是pkt[IP].len（IP 头声明的长度，可能含填充） - 避免重复计数：同一 TCP 流可能被拆成多个包，按
(src_ip, dst_ip, src_port, dst_port)元组聚合更合理
用 matplotlib 画图时图表不更新或坐标轴混乱
实时绘图最常踩的坑是没清空旧图、没重设 xlim/ylim、没调 plt.pause() 触发刷新。尤其在循环中反复 plt.plot() 而不 plt.clf()，图层会层层叠加，最后只剩一团乱线。
立即学习“Python免费学习笔记（深入）”；
- 每次绘图前加
plt.clf()或ax.clear() - 设置固定横轴范围：
plt.xlim(0, 60)（假设监控 60 秒），避免自动缩放导致抖动 - 用
plt.ion()开启交互模式，再在循环末尾加plt.pause(0.1)，否则窗口不响应 - 如果数据点太多影响性能，改用
plt.scatter()或降采样（如每 5 个点取均值）
真正难的不是画出第一张图，而是让监控稳定跑过 10 分钟不崩——这取决于你是否在 sniff() 里加了 store=0（不缓存包）、是否用队列把解析逻辑和绘图逻辑解耦、以及是否对异常包（如截断包、无 IP 层包）做了静默丢弃。这些细节不写进代码，图形再漂亮也没法落地。
