eBPF 深度实战：从零构建零侵扰的内核可观测性平台

引言：当 observability 进入内核态

传统可观测性方案（如 APM agent、sidecar 代理）往往需要在用户态部署侵入式探针，带来额外的性能开销和运维复杂度。eBPF（Extended Berkeley Packet Filter）的出现，让我们得以在不修改内核源码、不重启进程的前提下，安全地在内核态执行沙盒程序，实现对系统调用、网络流量、调度事件的精准观测。

本文将从零开始，带你深入理解 eBPF 的核心机制，并构建一个生产级的可观测性探针。

一、eBPF 程序生命周期

一个 eBPF 程序从编写到加载经历以下阶段：

1. 用 C 编写 eBPF 源码（受限子集），通过 LLVM/Clang 编译为 eBPF 字节码
2. 调用 bpf() 系统调用加载进内核，经过 Verifier 安全校验
3. 挂载到钩子点（kprobe/uprobe/tracepoint/XDP 等）
4. 内核事件触发时执行，通过 map 与用户态共享数据

二、核心挂载机制：kprobe 与 tracepoint

kprobe 可动态插桩任意内核函数入口/返回点，灵活性极高。tracepoint 是内核预定义的静态钩子，稳定性更好。

// 示例：挂载 kprobe 监控 execve 调用
SEC("kprobe/do_execveat_common")
int trace_execve(struct pt_regs *ctx) {
    struct task_struct *task = (struct task_struct *)bpf_get_current_task();
    u32 pid = BPF_CORE_READ(task, pid);
    char comm[16];
    bpf_get_current_comm(