使用Python libnftables-json API添加nftables map元素报错如何解决

问题原因 #

你遇到的报错通常来自两个核心问题：

• 你第一次编写的JSON结构不符合libnftables规范：elem字段下添加map元素不能用map对象结构，应该用set数组结构存储键值对，拼接类型的值需要用concat对象声明，你后续从nft命令回显拿到的结构本身是正确的。
• 大部分发行版默认携带的libnftables Python绑定，json_cmd方法要求传入序列化后的JSON字符串，而非原生Python字典对象，直接传字典会触发类型解析错误。

解决方案 #

修改代码，将构造好的命令结构序列化为JSON字符串后再调用json_cmd，同时保证数据类型匹配：端口号传整数类型，IP地址传字符串类型。

正确可运行代码示例 #

import nftables
import json

# 直接使用nft命令回显得到的正确结构
nft_cmd_dict = {"nftables": [
    {"add": {"element": {
        "family": "ip",
        "table": "router",
        "name": "port_forwards",
        "elem": {"set": [[
            80,
            {"concat": ["172.16.0.1", 8080]}
        ]]}
    }}}
]}

# 序列化为JSON字符串后再调用接口
nft_cmd = json.dumps(nft_cmd_dict)

nft = nftables.Nftables()
# 可选配置：开启JSON输出格式，方便后续解析返回值
nft.set_output_format(nftables.NFT_OUTPUT_JSON)
rc, _output, error = nft.json_cmd(nft_cmd)
if rc != 0:
    raise RuntimeError(f"Error running nftables command: {error}")

额外排查点 #

如果修改后仍然报错，可以检查以下两项：

• 确认你的libnftables版本不低于0.9.8，旧版本对JSON API的支持存在诸多缺陷
• 确认port_forwards map的定义与你传入的数值类型匹配：key为inet_service（整数），value为ipv4_addr+inet_service的拼接类型

内容的提问来源于stack exchange，提问作者SamP20