2. eBPF 基础回顾：eBPF 程序类型、eBPF Map、eBPF Helper 函数与内核探针

在深入资源配额校准之前，必须牢固掌握 eBPF 的核心基础组件。本章将系统回顾 eBPF 程序类型、eBPF Map、Helper 函数以及内核探针（kprobe/tracepoint）这四大支柱，为后续的故障排查场景打下坚实的技术地基。

2.1 eBPF 程序类型：挂载点决定观测视角

eBPF 程序类型决定了程序可以挂载到内核的哪个子系统，以及能够访问哪些上下文数据。不同的程序类型对应不同的观测场景。

2.2 eBPF Map：内核与用户态的数据桥梁

eBPF Map 是内核态 eBPF 程序与用户态控制面之间共享数据的关键结构。Map 以键值对形式存储，支持多种数据类型，是实现状态聚合、计数、配置下发的基础。

• 哈希表 (BPF_MAP_TYPE_HASH)：基于键的快速查找，适合存储连接跟踪表、进程 PID 映射。
• 数组 (BPF_MAP_TYPE_ARRAY)：预分配固定大小的连续内存，适合存储 CPU 核心统计、per-CPU 计数器。
• Per-CPU 数组/哈希 (BPF_MAP_TYPE_PERCPU_ARRAY / PERCPU_HASH)：每个 CPU 核心拥有独立副本，避免锁竞争，适合高频计数场景。
• 环形缓冲区 (BPF_MAP_TYPE_RINGBUF)：高效的内核到用户态数据传输通道，适合事件日志流。
• 栈跟踪 (BPF_MAP_TYPE_STACK_TRACE)：专门存储内核调用栈，与 kprobe 配合使用。

2.3 eBPF Helper 函数：安全的内核能力调用

eBPF 程序不能直接调用内核函数，必须通过预定义的 Helper 函数来安全地访问内核数据或执行特定操作。Helper 函数是 eBPF 虚拟机与内核交互的唯一合法通道。

2.4 内核探针：动态与静态观测点

内核探针是 eBPF 程序挂载到内核执行路径上的“钩子”。主要分为动态探针（kprobe）和静态探针（tracepoint）。

• kprobe / kretprobe：动态插桩，可以挂载到任意内核函数入口或返回点。灵活性极高，但可能因内核版本变化导致函数签名变更。
• tracepoint：内核开发者预定义的静态事件点，接口稳定，适合生产环境长期监控。

2.5 综合示例：使用 kprobe 监控文件写入配额

以下是一个完整的 eBPF 程序片段，演示如何通过 kprobe 挂载到 vfs_write 函数，结合 Map 和 Helper 函数，实现对进程写入字节数的实时计数。

// 定义 Map：进程 PID -> 累计写入字节数
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, u32);
    __type(value, u64);
} write_bytes_map SEC(".maps");

SEC("kprobe/vfs_write")
int trace_vfs_write(struct pt_regs *ctx)
{
    u32 pid = bpf_get_current_pid_tgid() >> 32;
    u64 *count, new_count = 0;

    // 从 Map 中查找当前进程的累计写入字节数
    count = bpf_map_lookup_elem(&write_bytes_map, &pid);
    if (count) {
        new_count = *count;
    }

    // 获取写入的字节数（第二个参数）
    // 注意：x86_64 架构下，第二个参数在寄存器 si 中
    size_t bytes_written = (size_t)PT_REGS_PARM2(ctx);
    new_count += bytes_written;

    // 更新 Map
    bpf_map_update_elem(&write_bytes_map, &pid, &new_count, BPF_ANY);

    // 检查是否超过配额（例如 1MB）
    if (new_count > 1048576) {
        // 输出告警事件到用户态
        bpf_perf_event_output(ctx, &events, BPF_F_CURRENT_CPU,
                              &pid, sizeof(pid));
    }

    return 0;
}