macos（基于 bsd）禁止直接通过 net.listenip("ip4:tcp", ...) 创建 tcp 层原始套接字，因此无法用标准 net 包读取所有入站 tcp 包；需降级至链路层（如 ethernet）并借助 libpcap（如 gopacket/pcap）实现可靠抓包。
在 Go 中尝试监听 TCP 协议的原始 IP 套接字（如 net.ListenIP("ip4:tcp", addr)）时，macOS 会静默失败或返回空数据——这不是代码 bug，而是系统内核限制所致。BSD 衍生系统（包括 macOS）出于安全与协议栈完整性考虑，不允许用户空间程序直接注册 TCP 协议号的原始套接字。相比之下，ICMP 协议在部分 BSD 实现中仍开放 raw socket 支持（故切换为 "ip4:icmp" 时可收到响应），但 TCP/UDP 不在此列。
要真正捕获所有发往本机（如 192.168.1.65）的 TCP 数据包，必须绕过 IP 层抽象，进入更底层的数据链路层（Data Link Layer），即直接从网卡驱动读取以太网帧（Ethernet frames）。此时推荐使用成熟的跨平台抓包方案：libpcap + Go 封装库 gopacket。
✅ 正确做法：使用 gopacket/pcap 抓取 TCP 流量
首先安装依赖：
go get github.com/google/gopacket go get github.com/google/gopacket/pcap
以下是一个完整示例，监听 en0 接口、过滤并解析所有目标为 192.168.1.65 的 TCP 数据包：
package main
import (
"fmt"
"log"
"time"
"github.com/google/gopacket"
"github.com/google/gopacket/layers"
"github.com/google/gopacket/pcap"
)
func main() {
// 打开网络接口（需 root 权限）
handle, err := pcap.OpenLive("en0", 1600, true, 30*time.Second)
if err != nil {
log.Fatal(err)
}
defer handle.Close()
// 设置 BPF 过滤器：只捕获目的 IP 为 192.168.1.65 的 TCP 包
err = handle.SetBPFFilter("dst host 192.168.1.65 and tcp")
if err != nil {
log.Fatal(err)
}
// 创建解包器
packetSource := gopacket.NewPacketSource(handle, handle.LinkType())
fmt.Println("Listening for TCP packets to 192.168.1.65...")
for packet := range packetSource.Packets() {
ipLayer := packet.Layer(layers.LayerTypeIPv4)
tcpLayer := packet.Layer(layers.LayerTypeTCP)
if ipLayer == nil || tcpLayer == nil {
continue
}
ip, _ := ipLayer.(*layers.IPv4)
tcp, _ := tcpLayer.(*layers.TCP)
fmt.Printf("[%s → %s] TCP %d → %d | Flags: %s | Len: %d\n",
ip.SrcIP, ip.DstIP,
tcp.SrcPort, tcp.DstPort,
tcp.String(), // 自动格式化标志位（SYN, ACK 等）
len(packet.Data()),
)
}
}⚠️ 注意事项
- 需要管理员权限：运行前执行 sudo go run main.go，否则 pcap.OpenLive 将失败（macOS 要求 CAP_NET_RAW 或等效特权）。
- 接口名确认：使用 ifconfig 或 networksetup -listallhardwareports 核实真实接口名（如 en0, en1），避免硬编码错误。
- BPF 过滤器提升性能：在内核态过滤（如 dst host ... and tcp）可大幅减少用户态数据拷贝，避免处理无关流量。
- 不替代 net.Conn：此方式用于被动嗅探/分析，不可用于接收并响应 TCP 连接（那仍需 net.ListenTCP）；原始抓包不会干扰内核 TCP 栈的正常收发。
✅ 总结
Go 标准库 net 包的 ListenIP 仅支持部分协议（如 ICMP、IGMP）的原始套接字，TCP 和 UDP 在 macOS/BSD 上被明确禁用。若需全流量 TCP 监控、协议分析或自定义中间件，唯一可靠路径是使用 gopacket/pcap 这类基于 libpcap 的底层封装——它跨平台、稳定，并提供丰富的解析与过滤能力。记住：抓包 ≠ 协议栈接管，二者职责分明，合理选型才能事半功倍。
