eBPF 系统调用追踪：从原理到生产级实战的完全指南

eBPF 系统调用追踪：从原理到生产级实战的完全指南

系统调用（syscall）是用户态程序和内核之间的唯一合法入口，理解系统调用的行为是性能诊断、安全审计和故障排查的基础。传统的追踪工具如 strace 虽然强大，但其 PTRACE 机制带来的性能开销极高 —— 每个系统调用都涉及两次上下文切换，在高并发场景下甚至会让被追踪进程的性能下降数十倍甚至上百倍。

eBPF（Extended Berkeley Packet Filter）的出现彻底改变了这一局面。通过在内核中安全地运行沙箱化的字节码，eBPF 能够以极低的开销追踪系统调用，同时提供比 strace 强大得多的过滤和聚合能力。

一、eBPF 系统调用追踪的三种事件类型

eBPF 提供了多种挂钩系统调用的方式，按抽象层次从低到高排列：

1.1 kprobe/kretprobe：动态追踪任意内核函数

kprobe 是最低层次的追踪方式，它可以在几乎任何内核函数的入口/返回处动态插入探针对。对于系统调用追踪，典型的挂载点是 sys_enter_* 和 sys_exit_* 或直接挂载到 do_syscall_64。

SEC("kprobe/__x64_sys_read")\nint trace_sys_enter(struct trace_event_raw_sys_enter *ctx) {\n    u64 id = bpf_get_current_pid_tgid();\n    u32 pid = id