macos（基于 bsd）禁止直接通过 net.listenip("ip4:tcp", ...) 创建 tcp 原始套接字，因其内核会拦截并处理所有 tcp 流量，导致用户态无法接收。正确方式是使用数据链路层抓包（如 libpcap），配合 gopacket 等库解析原始以太网帧中的 tcp 负载。
在 Go 中实现 TCP 数据包捕获，关键在于理解操作系统对原始套接字的权限模型：Linux 允许 AF_INET + IPPROTO_TCP 的 raw socket（需 root 权限），但 macOS（及所有 BSD 衍生系统）明确禁用该能力——即使以 root 运行，net.ListenIP("ip4:tcp", ...) 也只会静默失败或返回空数据，因为内核根本不会将已由 TCP 协议栈处理/终结的报文递交给原始套接字。
因此，必须退至更低网络层次：从以太网帧（Data Link Layer）开始抓包，再手动解析 IP 头、TCP 头与有效载荷。推荐使用成熟的 gopacket 生态（现迁移至 github.com/google/gopacket），它封装了 libpcap 接口，并提供类型安全的协议解码器。
以下是完整可运行示例（需提前安装 libpcap）：
# macOS 安装依赖（使用 Homebrew） brew install libpcap # Go 项目初始化 go mod init tcp-sniffer go get github.com/google/gopacket go get github.com/google/gopacket/pcap go get github.com/google/gopacket/layers
package main
import (
"fmt"
"log"
"time"
"github.com/google/gopacket"
"github.com/google/gopacket/layers"
"github.com/google/gopacket/pcap"
)
func main() {
// 指定网卡（如 en0）和快照长度（建议至少 65536）
handle, err := pcap.OpenLive("en0", 65536, true, 30*time.Second)
if err != nil {
log.Fatal(err)
}
defer handle.Close()
// 设置 BPF 过滤器，仅捕获目标为本机 192.168.1.65 的 TCP 包
err = handle.SetBPFFilter("tcp and dst host 192.168.1.65")
if err != nil {
log.Fatal(err)
}
fmt.Println("Starting TCP packet capture on en0 (dst 192.168.1.65)...")
packetSource := gopacket.NewPacketSource(handle, handle.LinkType())
for packet := range packetSource.Packets() {
// 尝试提取 IP 层
ipLayer := packet.Layer(layers.LayerTypeIPv4)
if ipLayer == nil {
continue
}
ip, _ := ipLayer.(*layers.IPv4)
// 尝试提取 TCP 层
tcpLayer := packet.Layer(layers.LayerTypeTCP)
if tcpLayer == nil {
continue
}
tcp, _ := tcpLayer.(*layers.TCP)
// 打印源/目标信息（注意：gopacket 自动处理字节序）
fmt.Printf("[TCP] %s:%d → %s:%d | Flags: 0x%x | Len: %d\n",
ip.SrcIP, tcp.SrcPort,
ip.DstIP, tcp.DstPort,
tcp.FlagString(), // 如 "ACK", "SYN", "PSH+ACK" 等
len(tcp.Payload()),
)
// 可选：打印 TCP 载荷（如 HTTP 请求头）
if len(tcp.Payload()) > 0 && len(tcp.Payload()) < 200 {
fmt.Printf(" Payload: %q\n", string(tcp.Payload()))
}
}
}⚠️ 重要注意事项：
- 权限要求：macOS 下 pcap.OpenLive 需要 root 权限（sudo go run main.go），否则会报 Operation not permitted；
- BPF 过滤器：务必使用 SetBPFFilter 限定流量（如 tcp and dst host 192.168.1.65），否则会收到海量广播/ARP/ICMP 等无关包，影响性能与可读性；
- 链路层差异：gopacket 默认按以太网解析；若在虚拟机或特殊接口中运行，请确认 handle.LinkType() 返回 pcap.LinkTypeEthernet；
- 替代方案：如需更高性能或更底层控制，可考虑 cgo 直接调用 libpcap C API，但 gopacket 已覆盖绝大多数分析场景。
总结：Go 原生 net 包不支持跨平台 TCP 原始抓包，尤其在 macOS/BSD 上受限严格。拥抱 gopacket + libpcap 是生产级网络监控、协议分析与安全工具开发的标准实践——它绕过内核协议栈限制，赋予你逐字节解析真实网络流量的能力。
