4. BCC 框架入门：BCC Python/Lua 前端、BCC 工具集概览

BCC（BPF Compiler Collection）是 BPF 技术生态中最成熟的前端框架之一。它封装了内核 BPF 程序的加载、验证、编译和事件采集逻辑，并提供 Python 和 Lua 两种高级语言接口，让开发者无需直接编写 BPF 汇编或 C 内核代码即可快速构建观测工具。本章将系统讲解 BCC 的架构、前端编程模型以及三个经典工具的实现原理。

4.1 BCC 整体架构与核心组件

BCC 框架采用“用户态前端 + 内核态 BPF 程序”的分层设计。用户态通过 Python 或 Lua 脚本描述观测逻辑，BCC 库自动完成 C 代码生成、LLVM/Clang 编译、BPF 验证与加载，并将内核事件通过 perf_event 或 ring_buffer 回传至用户态。

4.2 BCC Python 前端编程模型

BCC 的 Python 前端是使用最广泛的接口。一个典型的观测脚本包含四个步骤：

1. 加载 BPF C 程序：将内核态 C 代码作为字符串传入 BPF() 构造函数。
2. 挂载事件源：使用 attach_kprobe、attach_tracepoint 或 attach_raw_tracepoint 绑定内核函数。
3. 定义回调函数：通过 open_perf_buffer 或 open_ring_buffer 注册用户态数据处理函数。
4. 轮询事件：调用 perf_buffer_poll 或 ring_buffer_poll 进入事件循环。

以下是一个最小化的 execsnoop 核心逻辑示例：

from bcc import BPF

# 1. BPF C 程序：捕获 execve 系统调用
bpf_text = """
#include <uapi/linux/ptrace.h>
#include <linux/sched.h>

struct data_t {
    u32 pid;
    char comm[TASK_COMM_LEN];
};

BPF_PERF_OUTPUT(events);

int trace_execve(struct pt_regs *ctx) {
    struct data_t data = {};
    data.pid = bpf_get_current_pid_tgid() >> 32;
    bpf_get_current_comm(&data.comm, sizeof(data.comm));
    events.perf_submit(ctx, &data, sizeof(data));
    return 0;
}
"""

# 2. 加载 BPF 程序
b = BPF(text=bpf_text)

# 3. 挂载到 execve 系统调用入口
b.attach_kprobe(event="sys_execve", fn_name="trace_execve")

# 4. 定义回调并轮询
def print_event(cpu, data, size):
    event = b["events"].event(data)
    print(f"PID {event.pid}: {event.comm.decode()}")

b["events"].open_perf_buffer(print_event)
while True:
    b.perf_buffer_poll()

4.3 BCC Lua 前端简介

BCC 的 Lua 前端适用于嵌入式场景或对 Python 依赖敏感的环境。Lua 绑定通过 bcc.lua 模块暴露与 Python 类似的 API，但语法更轻量：

-- Lua 版本的 execsnoop 核心片段
local bcc = require("bcc")
local bpf = bcc.BPF.new([[
    #include <uapi/linux/ptrace.h>
    BPF_PERF_OUTPUT(events);
    int trace_execve(struct pt_regs *ctx) {
        u32 pid = bpf_get_current_pid_tgid() >> 32;
        char comm[TASK_COMM_LEN];
        bpf_get_current_comm(&comm, sizeof(comm));
        events.perf_submit(ctx, &pid, sizeof(pid));
        return 0;
    }
]])

bpf:attach_kprobe("sys_execve", "trace_execve")
bpf:open_perf_buffer(function(cpu, data, size)
    print("PID: " .. bpf:cast(data, "uint32*"))
end)
bpf:perf_buffer_poll()

4.4 BCC 工具集概览

BCC 官方仓库提供了超过 80 个现成工具，覆盖文件系统、网络、内存、调度、安全等子系统。以下三个工具是入门必学的经典案例：

4.4.1 execsnoop：进程执行追踪

execsnoop 通过 kprobe 挂载 sys_execve 系统调用，实时捕获新进程的创建事件。输出包含 PID、PPID、进程名和命令行参数。典型输出：

# execsnoop
PCOMM            PID    PPID   RET ARGS
bash             12345  12340    0 /bin/bash
ls               12346  12345    0 /bin/ls -la /tmp
python3          12347  12345    0 /usr/bin/python3 script.py

4.4.2 biolatency：块 I/O 延迟分布

biolatency 使用 tracepoint block:block_rq_issue 和 block:block_rq_complete 计算每次块 I/O 的延迟，并以直方图形式输出。支持按磁盘设备过滤：

# biolatency -D sda
Tracing block device I/O... Hit Ctrl-C to end.
^C
     usecs               : count     distribution
         0 -> 1          : 0        |                                        |
         2 -> 3          : 0        |                                        |
         4 -> 7          : 0        |                                        |
         8 -> 15         : 12       |****************************************|
        16 -> 31         : 8        |**************************              |
        32 -> 63         : 3        |**********                              |

4.4.3 tcpconnect：TCP 连接追踪

tcpconnect 通过 kprobe 挂载 tcp_v4_connect 和 tcp_v6_connect 内核函数，捕获每个出站 TCP 连接事件。输出包含源 IP、源端口、目标 IP、目标端口和 PID：

# tcpconnect
PID    COMM         IP SADDR            DADDR            DPORT
23456  curl         4  10.0.0.5         93.184.216.34    80
23457  wget         4  10.0.0.5         93.184.216.34    443
23458  redis-cli    4  127.0.0.1        127.0.0.1        6379

4.5 工具选择矩阵

根据观测目标选择合适的 BCC 工具，可大幅降低排查成本：