3. eBPF程序生命周期：加载、验证、附加到事件、运行、卸载；BPF系统调用详解

eBPF程序从编写到最终从内核中移除，经历一个严格定义的五阶段生命周期。每个阶段都涉及特定的BPF系统调用操作和内核安全检查。理解这一生命周期是构建安全租户隔离方案的基础——错误的生命周期管理可能导致权限逃逸或资源泄漏。

3.1 生命周期全景：五阶段模型

下表总结了eBPF程序生命周期的五个核心阶段及其对应的BPF系统调用命令：

3.2 阶段一：加载——BPF_PROG_LOAD系统调用

加载阶段是eBPF程序进入内核的入口。用户空间程序通过bpf()系统调用，传入BPF_PROG_LOAD命令和union bpf_attr结构体，将编译后的BPF字节码提交给内核。

// 核心数据结构：union bpf_attr（简化版）
union bpf_attr {
    struct {
        __u32   prog_type;      // 程序类型（如BPF_PROG_TYPE_KPROBE）
        __u32   insn_cnt;       // 指令数量
        __aligned_u64 insns;    // 指向BPF字节码的指针
        __aligned_u64 license;  // 许可证字符串（GPL兼容性检查）
        __u32   log_level;      // 验证器日志级别
        __u32   log_size;       // 日志缓冲区大小
        __aligned_u64 log_buf;  // 日志缓冲区指针
        __u32   kern_version;   // 内核版本（用于kprobe兼容性）
        __u32   prog_ifindex;   // 网络接口索引（用于XDP/TC）
    };
};

加载阶段的关键步骤：

• 类型检查：内核根据prog_type确定程序可访问的辅助函数集合和上下文结构。
• 许可证验证：如果程序使用了GPL-only的辅助函数（如bpf_ktime_get_ns），许可证必须声明为GPL兼容。
• 内存复制：将字节码从用户空间安全复制到内核分配的BPF虚拟机内存区域。
• 返回文件描述符：成功加载后，内核返回一个文件描述符（fd），用户空间通过该fd管理程序后续生命周期。

3.3 阶段二：验证——静态分析与安全保证

验证阶段是eBPF安全模型的核心。它在加载阶段内联执行，由内核验证器（verifier）完成。验证器对BPF字节码进行深度静态分析，确保程序不会破坏内核稳定性。

验证器执行以下检查：

1. 控制流图构建：将指令序列转换为有向无环图（DAG），确保不存在不可达指令或死循环。
2. 有界循环检测：所有循环必须有明确的退出条件，且迭代次数在编译时可确定。
3. 栈深度分析：验证栈操作不超过BPF栈限制（512字节），且栈指针对齐。
4. 指针安全：禁止指针算术运算，确保指针始终指向有效内存区域（栈、映射或上下文）。
5. 辅助函数白名单：根据程序类型，只允许调用预定义的辅助函数集合。
6. 模拟执行：对每条指令进行符号化模拟，跟踪寄存器状态和内存访问范围。

3.4 阶段三：附加——将程序绑定到事件

附加阶段将已验证的程序连接到具体的内核事件。不同的程序类型使用不同的附加机制：

现代内核推荐使用BPF链接（BPF Link）机制（BPF_LINK_CREATE），它提供统一的附加接口和更好的生命周期管理。

3.5 阶段四：运行——事件驱动执行

当附加的事件被触发时，eBPF程序在内核上下文中自动执行。运行阶段具有以下特征：

• 非抢占式：程序运行期间不会被其他BPF程序抢占，但可以被硬件中断打断。
• 指令限制：程序必须在内核配置的最大指令数内完成（默认4096条，可通过sysctl调整）。
• 辅助函数调用：只能调用验证器批准的辅助函数，不能调用任意内核函数。
• 映射访问：通过映射与用户空间或其他BPF程序共享数据。
• 返回值：程序返回一个整数值，影响事件处理流程（如XDP程序返回XDP_DROP或XDP_PASS）。

运行阶段的性能关键指标：

3.6 阶段五：卸载——资源清理

卸载阶段释放eBPF程序占用的内核资源。卸载方式取决于附加机制：

• 传统附加：关闭程序文件描述符（close(fd)），内核自动卸载程序。
• BPF Link：调用BPF_LINK_DESTROY命令或关闭link文件描述符。
• 自动卸载：当持有文件描述符的用户空间进程退出时，内核自动清理关联的BPF程序。

3.7 BPF系统调用详解

bpf()系统调用是用户空间与eBPF子系统交互的唯一入口。其原型为：

#include <linux/bpf.h>

int bpf(int cmd, union bpf_attr *attr, unsigned int size);

参数说明：

• cmd：操作命令，如BPF_PROG_LOAD、BPF_MAP_CREATE、BPF_LINK_CREATE等。
• attr：指向union bpf_attr的指针，包含命令特定参数。
• size：union bpf_attr的大小，用于内核版本兼容性检查。

常用BPF命令分类：

3.8 生命周期状态机与SVG图示

下图展示了eBPF程序生命周期的完整状态转换，包括每个阶段可能出现的错误路径：

3.9 生命周期中的安全边界

每个阶段都设置了安全边界，防止恶意或错误的程序影响系统稳定性：

• 加载阶段：检查调用者权限（CAP_BPF、CAP_NET_ADMIN等），拒绝未授权加载。
• 验证阶段：确保程序终止性、内存安全、指针安全，防止内核崩溃。
• 附加阶段：验证事件类型与程序类型匹配，检查命名空间隔离。
• 运行阶段：运行时边界检查（如映射访问越界检测），辅助函数调用审计。
• 卸载阶段：引用计数管理，防止程序正在执行时释放内存。