用net.InterfaceStat实时采样需两次取差除以时间间隔得速率，不可直接用累计值；Linux容器应采宿主机物理网卡，Windows部分驱动可能返回0；协议解析优先gopacket而非手写栈；高并发统计须用原子操作或channel聚合，避免sync.RWMutex瓶颈。
用 net.InterfaceStat 做实时采样，但别直接读累计值
直接调用 iface.Stat() 返回的 BytesRecv/BytesSent 是自系统启动以来的累计字节数，不是带宽速率。必须做两次采样、求差、再除以时间间隔才能得到 Mbps 或 MB/s。常见错误是只采一次就打印，结果全是“0”或巨大异常值。
- 用
time.Ticker控制采样节奏（比如每 2 秒一次），避免time.Sleep导致的漂移累积 - 首次采样后需等待至少一个完整周期再计算差值，否则时间间隔为 0
- Linux 容器内直接读
docker0或veth*会把容器间流量算作“出向”，真实出口应采宿主机物理网卡（如eth0或ens1f0） - Windows 下部分驱动不支持统计，
BytesRecv可能恒为 0；建议加 fallback：若为 0 且接口数 > 1，跳过该接口
协议解析层选 gopacket 而不是手撸 TCP/IP 栈
自己解析以太网帧、IP 包头、TCP 窗口字段既易出错又难维护。gopacket 提供了稳定、可扩展的协议解码能力，支持 pcap（抓包）、afpacket（高性能）、Layers（协议字段提取）等子模块，且已适配 IPv4/IPv6、HTTP/HTTPS（TLS 握手后明文）、DNS、ICMP 等主流协议。
- 离线分析用
pcap.OpenOffline()加载 pcap 文件；线上抓包用pcap.OpenLive()+ BPF 过滤器（如"tcp port 80 or port 443"）降低 CPU 开销 - 提取 HTTP Host 和 URL 时，优先用
httpLayer := packet.Layer(layers.LayerTypeHTTP)，而非正则匹配原始 payload —— 更安全、更少误判 - 注意
gopacket默认不重组 TCP 流，如需完整请求/响应体，要显式启用tcpassembly并管理流缓冲区生命周期 - 避免在每个包处理中分配大结构体；复用
gopacket.DecodeOptions和预分配的gopacket.Packet缓冲区
高并发统计必须用无锁原子操作或 channel 聚合
如果每秒处理上万包，用 map[string]int64 加 sync.RWMutex 更新计数，锁争用会迅速成为瓶颈。Go 协程轻量，但共享状态仍是性能杀手。
- 对固定维度（如按目标 IP 统计），用
atomic.Int64数组 + 哈希映射索引，比 map+mutex 快 3–5 倍 - 对动态维度（如按 HTTP Path 统计），用带缓冲的
chan *TrafficEvent接收协程上报，由单个聚合 goroutine 持续消费并更新本地 map —— 避免锁，也防止 GC 压力 - 聚合 goroutine 内部每 5 秒将当前统计快照推到环形缓冲区或发送至 Prometheus 的
prometheus.GaugeVec，不要每次包都打点 - 务必设
runtime.GOMAXPROCS(0)让调度器充分利用多核，但注意gopacket的pcap.Handle不是线程安全的，一个 handle 只能被一个 goroutine 使用
流量整形与限速要用 golang.org/x/time/rate 的 Limiter
单纯统计不够，真实场景常需控制输出节奏（如限制日志上报速率、平滑导出指标到 Kafka）。自己实现令牌桶容易漏掉边界条件（如负余量、时间回拨）。
立即学习“go语言免费学习笔记（深入）”；
-
rate.NewLimiter(rate.Limit(100), 200)表示平均 100 QPS、最多允许 200 次突发 —— burst 至少设为平均速率的 2 倍，否则突发流量全被阻塞 - 用
limiter.ReserveN(time.Now(), 1)获取预留信息，检查.OK()和.Delay()，再决定是否 Sleep 或丢弃，比Wait()更可控 - 不要在 HTTP handler 中直接
limiter.Wait()，它会阻塞整个协程；应提前 Reserve，失败则快速返回http.StatusTooManyRequests - 若需动态调参（如下游延迟升高时降速），用
atomic.Value存储当前*rate.Limiter，避免每次请求都加锁更新
gopacket 抓包本身 CPU 占用高，而 net.InterfaceStat 轮询几乎无开销；前者适合深度分析（如识别恶意 HTTP User-Agent），后者适合长期监控（如网卡级带宽趋势）。混用时，建议用 InterfaceStat 做粗粒度告警触发，再启动 gopacket 短期抓包做根因分析，而不是永远全量解析。 
