3. eBPF制品定义：eBPF字节码(.o文件)、eBPF程序包、eBPF配置文件与依赖

在构建基于Automation的eBPF制品库流水线回滚机制之前，必须首先明确“eBPF制品”的边界与构成。eBPF制品并非单一文件，而是一组具有严格依赖关系的交付物集合。本章将定义三类核心制品实体，并阐明它们之间的组合关系，为后续流水线中的版本控制、存储与回滚操作奠定数据模型基础。

3.1 制品层次结构总览

eBPF制品从编译到部署，经历从底层字节码到上层配置包的逐层封装。下图展示了三类制品在流水线中的位置与依赖关系：

3.2 eBPF字节码 (.o文件)

eBPF字节码是C语言源码经过LLVM/Clang编译器后端生成的ELF目标文件，是内核验证器直接读取的二进制输入。它是整个制品链的“原子基元”。

3.2.1 字节码文件特征

3.2.2 字节码编译示例

# 使用clang编译eBPF字节码
clang -O2 -target bpf -c xdp_drop.c -o xdp_drop.o

# 查看字节码节区信息
llvm-objdump -h xdp_drop.o

# 计算文件校验和
sha256sum xdp_drop.o > xdp_drop.o.sha256

3.3 eBPF程序包

eBPF程序包是流水线中实际交付和回滚的“逻辑单元”。它将字节码、加载器脚本、元数据清单打包为一个可分发、可版本化的归档文件。

3.3.1 程序包结构定义

my_ebpf_program-1.2.3/
├── bpf/
│   ├── xdp_drop.o          # eBPF字节码
│   ├── xdp_pass.o          # 辅助程序字节码
│   └── bpf_helpers.h       # 编译时头文件（可选）
├── loader/
│   ├── load.sh             # bpftool加载脚本
│   └── unload.sh           # 卸载脚本
├── metadata/
│   ├── package.yaml        # 包元数据
│   └── changelog.md        # 变更记录
├── config/
│   └── default.yaml        # 默认运行时配置
└── checksums/
    └── sha256sums.txt      # 所有文件校验和

3.3.2 包元数据清单 (package.yaml)

# package.yaml
name: xdp_drop_package
version: 1.2.3
release: 2025-03-15
bpf_programs:
  - name: xdp_drop
    object: bpf/xdp_drop.o
    section: "xdp"
    kernel_min: "5.10.0"
  - name: xdp_pass
    object: bpf/xdp_pass.o
    section: "xdp"
    kernel_min: "5.10.0"
dependencies:
  - libbpf >= 1.0
  - kernel_config: CONFIG_BPF=y
loader:
  script: loader/load.sh
  unloader: loader/unload.sh
checksum: a3f8b2c1d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0

3.4 eBPF配置文件与依赖

配置与依赖是eBPF程序包的外部环境约束，它们不直接参与内核执行，但决定了程序能否正确加载和运行。在回滚场景中，配置与依赖必须与程序包版本严格对齐。

3.4.1 配置分类

3.4.2 依赖声明示例

# dependencies.yaml
kernel:
  version: ">=5.10.0"
  config:
    - CONFIG_BPF=y
    - CONFIG_BPF_SYSCALL=y
    - CONFIG_DEBUG_INFO_BTF=y
libraries:
  - name: libbpf
    version: ">=1.0.0"
    source: system
tools:
  - name: bpftool
    version: ">=6.0.0"
    source: system
btf:
  - file: /sys/kernel/btf/vmlinux
    required: true

3.5 制品版本关联模型

在自动化流水线中，三类制品通过版本号建立关联。下图展示了版本追溯与回滚时的依赖链：

3.6 制品存储与回滚策略

基于上述制品定义，自动化流水线在制品库中采用以下存储与回滚策略：

1. 不可变存储：每个制品文件上传后标记为只读，禁止覆盖。新版本生成新路径，旧版本保留用于回滚。
2. 版本快照：每次发布生成一个包含字节码、程序包、配置的完整快照，快照ID作为回滚目标。
3. 依赖锁定：在package.yaml中记录所有依赖的精确版本，回滚时恢复锁定文件。
4. 预检校验：回滚前自动执行依赖兼容性检查，包括内核版本、库版本、BTF可用性。
5. 原子切换：回滚操作通过符号链接切换实现原子性，避免部分更新导致的状态不一致。

3.7 本章小结