2. eBPF基础回顾：eBPF程序类型、Map机制、Helper函数、验证器与JIT编译

在深入租户隔离架构之前，必须重新审视eBPF的五大核心支柱：程序类型决定了挂载点与能力边界；Map机制提供了跨上下文的数据交换通道；Helper函数是内核向eBPF程序安全暴露的API；验证器确保程序不会破坏内核稳定性；JIT编译将字节码转化为本地指令以提升性能。这五个组件共同构成了eBPF的安全执行基础，也是后续实现租户隔离的“可操作层”。

2.1 eBPF程序类型：挂载点与能力边界

eBPF程序类型决定了程序可以挂载到内核的哪个事件源，以及能够访问哪些内核数据结构。每种类型都对应一组固定的上下文结构体和可调用Helper函数集合。下表列出了与租户隔离场景最相关的几种程序类型：

2.2 Map机制：跨上下文的数据交换通道

eBPF Map是内核中的键值存储结构，允许eBPF程序之间、eBPF程序与用户空间之间共享数据。Map的类型决定了其语义和并发行为。在租户隔离场景中，Map通常用于存储租户标识、策略规则、统计计数和上下文状态。

以下是常用的Map类型及其隔离适用性：

2.3 Helper函数：内核安全API

eBPF程序不能直接调用内核函数，必须通过Helper函数与内核交互。每个Helper函数都有明确的签名、权限检查和可调用上下文。验证器会检查程序调用的Helper函数是否与当前程序类型兼容。

在租户隔离场景中，以下Helper函数最为关键：

• bpf_map_lookup_elem / bpf_map_update_elem：Map读写的基础操作，所有隔离策略的数据存取都依赖它们。
• bpf_get_current_pid_tgid / bpf_get_current_uid_gid：获取当前进程的PID和UID，用于识别租户身份。
• bpf_skb_load_bytes / bpf_skb_store_bytes：安全读写网络包数据，用于租户流量标记和修改。
• bpf_perf_event_output：将事件数据发送到用户空间，用于租户审计日志。
• bpf_get_stackid：获取内核栈ID，用于租户异常行为分析。
• bpf_override_return（仅限LSM程序）：修改系统调用的返回值，实现强制访问控制。

2.4 验证器：安全执行的第一道防线

eBPF验证器是内核中的一个静态分析器，在程序加载时执行以下检查：

1. 控制流完整性：确保程序不会形成循环（除非有界循环），所有指令路径都可达且终止。
2. 栈边界检查：确保栈访问不越界，栈大小不超过512字节。
3. 指针类型安全：禁止指针算术，禁止将标量值当作指针使用，禁止未初始化指针。
4. Helper函数兼容性：检查调用的Helper函数是否在当前程序类型的允许列表中。
5. Map访问验证：检查Map键值大小是否匹配，Map类型是否与操作兼容。
6. 死代码消除：移除不可达指令，减少JIT编译负担。

验证器使用有向无环图（DAG）遍历算法，模拟程序执行路径，跟踪寄存器状态和栈状态。如果任何路径违反安全规则，验证器会拒绝加载并返回错误信息。

2.5 JIT编译：从字节码到本地指令

JIT（Just-In-Time）编译器将eBPF字节码转换为目标CPU架构的本地机器指令。JIT编译发生在程序加载阶段，之后内核直接执行本地指令，不再需要解释器。

JIT编译的主要优势：

• 性能提升：本地指令执行速度比解释执行快3-5倍，XDP场景下可达10倍以上。
• 指令优化：JIT编译器会进行寄存器分配、常量折叠、死代码消除等优化。
• 安全加固：现代JIT编译器（如x86-64 JIT）会插入ROP/JOP缓解措施，防止控制流劫持。

JIT编译的流程如下：

1. 验证器通过后，字节码被传递给JIT编译器。
2. JIT编译器遍历eBPF指令，将其映射到本地指令序列。
3. 寄存器分配器将eBPF虚拟寄存器（R0-R10）映射到物理寄存器。
4. JIT编译器生成可执行代码，并标记为只读。
5. 内核将生成的本地指令地址注册到事件挂载点。

2.6 五大组件在租户隔离中的协同关系

在控制平面架构中，这五个组件不是孤立的，而是形成一个安全执行管道：