问题不在代码而在环境：Linux需setcap cap_net_raw+ep赋权，macOS须动态查网卡（过滤loopback），Wireshark导出须选As PCAP而非pcapng，gopacket不支持流重组故LayerTypeHTTP常nil。
Go 环境装好了，gopacket 也 go get 了，但一跑抓包就 panic 或静默失败——问题大概率不在代码，而在环境与工具链的配合上。
Linux 下没权限，pcap.OpenLive 不报错但收不到包
这是最常被当成“代码 bug”处理的问题。进程没拿到原始套接字权限，OpenLive 会成功返回 handle，但后续 packetSource.Packets() 永远阻塞或立即返回 nil。
- 别用
sudo ./your-binary临时解决，它绕过安全边界且不适用于服务化部署 - 改用能力赋权：
sudo setcap cap_net_raw+ep ./your-binary，之后普通用户可直接运行 - 验证是否生效：
getcap ./your-binary应输出类似./your-binary = cap_net_raw+ep - 如果用了容器，需加
--cap-add=NET_RAW，且确保宿主机已安装 libpcap-dev（编译依赖）
macOS 上选错网卡，pcap.FindAllDevs() 返回空或只有 loopback
macOS 的 SIP 和接口命名策略让硬编码 "en0" 极其危险。有些设备默认是 "en1"，M1/M2 Mac 可能是 "enX"，虚拟机里甚至可能是 "utunX"。
- 必须先调
pcap.FindAllDevs()，遍历Devices[i].Addresses - 过滤掉仅含
127.0.0.1或::1的设备（纯 loopback） - 优先选
Devices[i].Description非空、且含公网 IPv4 或 IPv6 地址的设备 - 不要依赖
net.Interfaces()结果——它和 pcap 接口列表不完全对齐，尤其在虚拟网卡场景下
Wireshark 导出的 .pcap 文件在 gopacket.OpenOffline 中静默失败
gopacket 原生只支持 libpcap 格式，而 Wireshark 默认导出的是 pcapng。文件看起来是 .pcap，但实际是 pcapng，OpenOffline 会返回 nil handle 或后续 packet.Layer() panic。
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
- 用系统命令确认：
file your.pcap—— 输出含pcap-ng就是错的 - 正确导出方式：Wireshark → File → Export Packet Dissections → As PCAP (libpcap)
- 已有 pcapng？用
tshark -F libpcap -r input.pcapng -w output.pcap转换 - 别用
os.Open+ 自己解析，PCAP 是二进制容器格式，必须走gopacket.OpenOfflineFile
packet.Layer(layers.LayerTypeHTTP) 总是 nil，不是库问题而是协议层逻辑没对上
gopacket 不做 TCP 流重组、不分片、不解密 TLS、不处理 chunked 编码。它只对“单个数据包里恰好含完整 HTTP 报文头”有效——现实中几乎不存在。
- 先检查基础层：
packet.NetworkLayer() == nil或packet.TransportLayer() == nil？说明 IP/TCP 解析失败，可能链路层类型不对或包被截断 - 打印
packet.Metadata().CaptureLength和packet.Metadata().Length，若前者 Length，说明snaplen设置太小，HTTP 头被截断 - 别在循环里对每个
tcp.Payload直接调http.ReadRequest—— 它需要完整未分片的流，应先用gopacket/tcpassembly重建流 - 想快速匹配 HTTP 请求？用字符串搜索：
bytes.Contains(tcp.Payload, []byte("GET "))或正则，比依赖LayerTypeHTTP更可靠
真正难的不是写几行 gopacket 代码，而是把权限、链路层类型、文件格式、协议解析边界这四件事全对齐——少一个，就是“没报错但啥也看不到”。
