根本原因是libseccomp-golang依赖C动态库，但Go编译器不自动链接系统共享库；需安装libseccomp-dev（非仅libseccomp1），验证pkg-config版本及so路径，交叉编译时以目标环境版本为准，容器中优先选用debian/ubuntu镜像并安装libseccomp2。
go build 时找不到 libseccomp.so 怎么办
根本原因是 libseccomp-golang 依赖 C 动态库，但 Go 编译器只管 Go 代码，不自动链接系统级共享库。报错典型形式是：undefined reference to `seccomp_init' 或运行时报 error while loading shared libraries: libseccomp.so.2: cannot open shared object file。
- 先确认系统是否装了开发包：Ubuntu/Debian 执行
sudo apt-get install libseccomp-dev；CentOS/RHEL 用sudo yum install libseccomp-devel（或dnf install libseccomp-devel） - 仅装
libseccomp1（运行时库）不够，必须装-dev版本，否则cgo找不到头文件<seccomp.h> - 验证安装效果：
pkg-config --modversion libseccomp应输出版本号；find /usr -name "libseccomp.so*" 2>/dev/null应至少返回一个路径 - 如果用的是自编译的 libseccomp（比如新版），需手动指定路径：
CGO_LDFLAGS="-L/path/to/libseccomp/lib -lseccomp" go build
交叉编译时 libseccomp 兼容性断裂
在 WSL2 或 macOS 上构建 Linux 二进制，却要跑在 CentOS 7 这类旧系统上，libseccomp 版本不匹配极易导致 GLIBCXX_3.4.21 not found 或 version `LIBSECCOMP_2.5' not found。
- 不要依赖宿主机的 libseccomp 开发库版本——目标环境才是唯一标准。查清目标系统
libseccomp版本：rpm -q libseccomp（CentOS）或dpkg -l | grep seccomp（Debian） - 若目标只有 libseccomp 2.3.x，而你本地头文件来自 2.5+，
cgo可能调用不存在的函数（如seccomp_export_bpf_fd），编译通过但运行 panic - 解决方案不是降级本地开发环境，而是用
//go:build隔离高版本特性：在新增 API 调用处加//go:build libseccomp >= 2.5，并提供 fallback 实现 - 更稳妥的做法：在 CI 中用目标系统镜像（如
centos:7）做构建，用docker run --rm -v $(pwd):/work -w /work centos:7 /bin/bash -c "yum install -y golang libseccomp-devel && go build"
go.mod 里 require libseccomp-golang，但实际加载失败
这个模块本身不包含 C 库，只是 Go 绑定层。go mod download 成功不代表能用——它不检查系统依赖是否存在，也不触发 cgo 链接验证。
-
go list -m all | grep seccomp只能确认 Go 包已拉取，不能替代运行时检查 - 真正验证方式是：设
CGO_ENABLED=1后执行go build -o test .，再运行./test；若失败，用ldd ./test | grep seccomp看是否链接到正确 so - 如果项目同时用了多个 cgo 依赖（如 sqlite3 + seccomp），注意
CGO_LDFLAGS顺序：-lseccomp 必须在 -lsqlite3 之后，否则链接器可能忽略未解析符号 - 静态链接不可行：libseccomp 不提供静态 a 文件，
CGO_ENABLED=0会直接让libseccomp-golang编译失败（因含#include <seccomp.h>）
容器内运行时报 “no such file or directory” 指向 libseccomp.so
镜像里没装 libseccomp 运行时库，或者路径不对。Alpine 镜像尤其容易踩坑，因为默认用 musl libc，而 libseccomp-golang 绑定的是 glibc 接口。
立即学习“go语言免费学习笔记（深入）”；
- Dockerfile 中别只写
FROM golang:1.22-alpine就开始go build——Alpine 的apk add libseccomp提供的是 musl 版本，与标准绑定不兼容 - 推荐基础镜像用
debian:slim或ubuntu:22.04，然后明确安装：RUN apt-get update && apt-get install -y libseccomp2 && rm -rf /var/lib/apt/lists/* - 若坚持用 Alpine，需从源码编译 libseccomp 并启用
--enable-static，再用CGO_LDFLAGS="-static-libgcc -static-libstdc++"强制静态链接（但非常规，且体积大） - 检查容器内 so 路径是否在
/etc/ld.so.conf.d/或LD_LIBRARY_PATH中：运行cat /proc/1/maps | grep seccomp或ldconfig -p | grep seccomp
go mod tidy 能否成功，而是 go build 成功后，在目标机器上 ./binary 第一次执行就 core dump —— 那时候才暴露 C 层 ABI 兼容性问题。提前在最小化环境里跑真实二进制，比任何静态检查都管用。 
