3、eBPF与uprobe：eBPF程序如何挂载到用户态函数、BPF程序类型与辅助函数

在深入故障排查之前，必须理解 eBPF 与 uprobe 的协作机制。eBPF 程序并非直接“插入”到用户态进程的指令流中，而是通过内核事件框架进行挂载。本章将剖析 eBPF 程序如何通过 uprobe 附着到用户态函数，并介绍相关的 BPF 程序类型与核心辅助函数。

3.1 eBPF 挂载用户态函数的完整链路

eBPF 程序挂载到用户态函数需要经过“用户态工具 → 内核 eBPF 验证器 → 动态插桩”三个层级。下图展示了从编写 eBPF 程序到最终触发回调的完整数据流：

3.2 涉及的 BPF 程序类型

在 uprobe 场景中，主要使用两种 BPF 程序类型。下表对比了它们的核心差异：

3.3 核心辅助函数（Helper Functions）

eBPF 程序不能直接调用内核函数，必须通过内核提供的辅助函数与外界交互。在 uprobe 故障排查中，以下辅助函数最为关键：

• bpf_get_current_pid_tgid() — 获取当前线程的 PID 和 TGID（线程组 ID），用于区分不同进程/线程的调用。
• bpf_ktime_get_ns() — 获取高精度时间戳（纳秒级），用于计算函数执行耗时。
• bpf_probe_read_user() — 安全地从用户态地址空间读取数据，用于读取函数参数指向的字符串或结构体。
• bpf_perf_event_output() — 将数据发送到用户态的 perf 环形缓冲区，用于实时输出采集结果。
• bpf_get_stackid() — 获取当前调用栈的 ID，用于后续用户态调用链的还原。

下面的 SVG 图展示了这些辅助函数在 eBPF 程序中的典型调用关系：

3.4 挂载示例：使用 bpftrace 挂载 uprobe

以下是一个完整的 bpftrace 脚本示例，展示如何挂载到用户态函数 do_query 并采集调用耗时：

#!/usr/bin/env bpftrace

// 定义 uprobe 挂载点：用户态二进制 /usr/sbin/mysqld 中的 do_query 函数
uprobe:/usr/sbin/mysqld:do_query
{
    // 记录进入时间（纳秒）
    @start[tid] = nsecs;
    // 记录进程 PID
    @pid[tid] = pid;
}

uretprobe:/usr/sbin/mysqld:do_query
{
    $start = @start[tid];
    $pid = @pid[tid];
    if ($start != 0) {
        $latency = nsecs - $start;
        // 输出耗时大于 1ms 的调用
        if ($latency > 1000000) {
            printf("PID %d: do_query latency %d us\n", $pid, $latency / 1000);
        }
        delete(@start[tid]);
        delete(@pid[tid]);
    }
}

3.5 程序类型与辅助函数的选型策略

在实际故障排查中，根据场景选择合适的程序类型和辅助函数至关重要。下表总结了不同场景下的推荐组合：