3. eBPF 核心技术概览：程序类型、BPF 映射、辅助函数、CO-RE 与 BTF

eBPF 并非单一技术，而是一套由程序类型、映射、辅助函数以及加载验证机制构成的完整生态。理解这四大核心组件，是掌握 eBPF 在 HPA 与灰度门禁场景中应用的基础。

3.1 eBPF 程序类型：挂载点决定能力

eBPF 程序必须挂载到内核的特定事件点（kprobe、tracepoint、XDP、cgroup 等）才能执行。不同的程序类型决定了你能捕获什么数据、在哪个网络或系统层级工作。

3.2 BPF 映射：内核态与用户态的数据桥梁

BPF 映射（Map）是 eBPF 程序的核心数据结构，用于在内核态与用户态之间共享状态、统计计数、配置规则。映射类型决定了数据组织方式与并发语义。

// 示例：定义灰度标签映射（C 伪代码）
struct bpf_map_def SEC("maps") gray_map = {
    .type = BPF_MAP_TYPE_HASH,
    .key_size = sizeof(u32),          // Pod IP (host order)
    .value_size = sizeof(struct gray_rule),
    .max_entries = 1024,
};

// 用户态更新映射
int key = pod_ip;
struct gray_rule rule = { .canary = 1, .weight = 30 };
bpf_map_update_elem(&gray_map, &key, &rule, BPF_ANY);

3.3 辅助函数：安全的内核能力调用

eBPF 程序不能直接调用内核函数，必须通过辅助函数（Helper） 完成数据读取、映射操作、事件输出等任务。每个程序类型都有允许调用的辅助函数白名单。

• 数据获取类： bpf_get_current_pid_tgid()、bpf_get_current_cgroup_id()、bpf_skb_load_bytes()
• 映射操作类： bpf_map_lookup_elem()、bpf_map_update_elem()、bpf_map_delete_elem()
• 事件输出类： bpf_perf_event_output()、bpf_ringbuf_output()
• 辅助计算类： bpf_ktime_get_ns()、bpf_get_prandom_u32()

3.4 CO-RE 与 BTF：一次编译，到处运行

传统 eBPF 程序需要为每个目标内核版本编译，维护成本极高。CO-RE（Compile Once – Run Everywhere）配合 BTF（BPF Type Format）解决了这一痛点。

3.5 BTF：让内核数据结构自描述

BTF（BPF Type Format）是 CO-RE 的基石。它将内核数据结构（struct、union、enum）的布局信息以紧凑的二进制格式嵌入到 eBPF 对象中。加载器通过 BTF 可以精确知道每个字段的偏移量、大小和对齐方式。

// 查看内核 BTF 信息（需安装 bpftool）
# bpftool btf dump file /sys/kernel/btf/vmlinux format c | head -30

// 查看 eBPF 对象中的 BTF 重定位记录
# bpftool prog show --pretty <prog_id>

3.6 核心技术关系总结