BPF_PROG_TYPE_SOCKET_FILTER是否仅处理入站数据包？矛盾问题咨询

你的困惑核心在于对SOCKET_FILTER的调用路径理解不完整，它并非只在入站路径执行，而是会在socket的收发两个路径上都被触发：

• 入站路径：正如你看到的博客内容，数据包从网络层进入传输层后，在sock_queue_rcv_skb函数中将skb加入socket接收队列前，会调用挂载的SOCKET_FILTER，这部分是入站数据的处理流程。
• 出站路径：当应用层调用send()/sendto()等发送接口时，内核在构建好skb并将其加入传输层发送队列前，同样会检查当前socket是否挂载了SOCKET_FILTER，并执行过滤逻辑。对应的内核调用路径通常涉及__sk_sendmsg或skb_queue_tail等函数，这部分是很多资料容易遗漏的点。

早期部分内核版本或特定场景下，可能存在SOCKET_FILTER仅处理入站的情况，但目前主流Linux内核（4.x及以上）中，SOCKET_FILTER默认支持双向触发，所以你的过滤器能同时捕获出入站HTTP数据包是符合当前内核行为的。

你可以在BPF程序中通过判断skb->pkt_type（比如PACKET_OUTGOING标记）或者结合传输层端口、IP地址的方向，来区分出入站数据包，验证这一逻辑。

内容的提问来源于stack exchange，提问作者strickland ye