3. eBPF 程序生命周期：加载、验证、编译、附加、运行与卸载

eBPF 程序从编写到最终在内核中执行，需要经历一个严格且完整的生命周期。理解这一过程对于开发高效、安全的监控程序至关重要。本章将详细拆解 eBPF 程序的六个核心阶段：加载、验证、编译、附加、运行与卸载。

3.1 加载阶段：bpf() 系统调用

eBPF 程序的起点是用户态程序通过 bpf() 系统调用将编译后的字节码（BPF bytecode）注入内核。这是用户态与内核态交互的唯一入口。

• 系统调用原型： int bpf(int cmd, union bpf_attr *attr, unsigned int size);
• 关键命令（cmd）：
  • BPF_PROG_LOAD：加载 eBPF 程序。
  • BPF_MAP_CREATE：创建 eBPF Map（用于数据交换）。
  • BPF_PROG_ATTACH / BPF_PROG_DETACH：附加/卸载程序。
• 加载流程： 用户态程序将 eBPF 字节码、程序类型、许可证等信息封装在 bpf_attr 结构体中，通过 bpf(BPF_PROG_LOAD, &attr, sizeof(attr)) 发起调用。

// 用户态 C 代码片段
union bpf_attr attr = {
    .prog_type = BPF_PROG_TYPE_KPROBE,  // 程序类型
    .insn_cnt  = prog_len / sizeof(struct bpf_insn),
    .insns     = ptr_to_bytecode,        // 指向字节码的指针
    .license   = "GPL",                  // 许可证
    .log_level = 1,                      // 启用验证日志
    .log_size  = log_buf_size,
    .log_buf   = log_buf,
};

int fd = bpf(BPF_PROG_LOAD, &attr, sizeof(attr));
if (fd < 0) {
    // 处理错误，查看 log_buf 获取验证器详情
    perror("bpf");
}

3.2 验证阶段：Verifier

验证器（Verifier）是 eBPF 安全性的基石。它在内核中静态分析加载的字节码，确保程序不会对内核造成危害。验证过程分为两步：

1. 第一遍（DFS 深度优先遍历）： 检查控制流图（CFG）的完整性，确保无循环、无死代码、指令长度合法。
2. 第二遍（符号执行）： 模拟每条指令的执行，跟踪寄存器状态和栈状态，确保：
   • 不会访问越界内存（如数组越界）。
   • 不会解引用未初始化的指针。
   • 程序在有限步数内终止（无循环或循环有界）。
   • 辅助函数调用参数类型匹配。

3.3 编译阶段：JIT（Just-In-Time）

验证通过后，内核中的 JIT 编译器将通用的 eBPF 字节码转换为当前 CPU 架构（如 x86-64、ARM64）的本地机器码。这极大地提升了执行效率。

• 性能提升： 解释执行每条指令需要多次函数调用和上下文切换；JIT 编译后，程序直接以原生机器码运行，性能接近内核原生代码。
• 架构适配： 不同架构的 JIT 编译器实现不同，但都遵循相同的 eBPF 指令集映射规则。
• 调试信息： 可通过 /proc/net/bpf_jit_enabled 查看 JIT 是否启用（1 为启用）。

3.4 附加阶段：Attach 到事件

编译后的 eBPF 程序需要“挂载”到指定的内核事件上才能被触发。不同的程序类型对应不同的附加方式。

• kprobe / kretprobe： 通过 perf_event_open() 系统调用或 bpf(BPF_PROG_ATTACH) 附加到内核函数的入口或返回点。
• tracepoint： 附加到内核预定义的静态跟踪点（如 sys_enter_open）。
• XDP： 附加到网络驱动层，通过 netlink 或 bpf(BPF_PROG_ATTACH) 绑定到网络接口。
• 文件系统 IO： 使用 fentry/fexit 或 kprobe 附加到 VFS 层函数（如 vfs_read、vfs_write）。

// 假设已加载 eBPF 程序并获得 fd
struct bpf_object *obj = bpf_object__open_file("monitor.bpf.o", NULL);
bpf_object__load(obj);

// 查找 eBPF 程序
struct bpf_program *prog = bpf_object__find_program_by_name(obj, "trace_vfs_read");

// 附加到 kprobe
struct bpf_link *link = bpf_program__attach_kprobe(prog, false, "vfs_read");
if (!link) {
    // 处理附加失败
    perror("attach_kprobe");
}

3.5 运行阶段：事件触发执行

当被监控的内核事件发生时，eBPF 程序在内核上下文中被同步或异步执行。

• 执行上下文： 程序运行在中断上下文或进程上下文，取决于附加点。例如，kprobe 在中断上下文运行，tracepoint 可能在进程上下文。
• 数据交互： 程序通过 eBPF Map 与用户态通信，或通过 bpf_perf_event_output() 将数据推送到 perf ring buffer。
• 限制： 运行期间不能调用非 eBPF 辅助函数，不能睡眠（除非是 BPF_F_SLEEPABLE 程序），栈空间有限（512 字节）。

3.6 卸载阶段：资源释放

当监控任务结束或程序需要更新时，eBPF 程序及其关联的资源必须被正确卸载，以避免内核资源泄漏。

• 卸载方式：
  • 关闭文件描述符：用户态程序关闭通过 bpf() 系统调用获得的程序 fd。
  • 使用 BPF_PROG_DETACH：显式地从事件上分离程序。
  • 进程退出：当加载 eBPF 程序的用户态进程退出时，内核会自动清理其持有的 eBPF 资源（除非 Map 被设置为 BPF_F_PINNED）。
• 注意事项：
  • 确保在卸载前停止所有数据读取操作，避免竞态条件。
  • 对于 pinned 的 Map，需要手动删除 bpffs 中的文件（rm /sys/fs/bpf/my_map）。