Linux eBPF：内核可扩展性革命

一、eBPF 是什么？为什么重要？

eBPF（Extended Berkeley Packet Filter）是 Linux 内核中一项革命性的可扩展技术，它允许用户在不修改内核源码、不加载内核模块的情况下，安全地在内核空间中运行自定义沙盒程序。自 Linux 3.18（2014年）引入重大扩展以来，eBPF 已从最初的网络包过滤工具，演变为覆盖可观测性、网络、安全三大领域的通用内核编程平台。

传统上，向内核添加新功能需要经历漫长的开发周期、漫长的审核流程，以及漫长的内核发布周期。eBPF 彻底打破了这个瓶颈——任何开发者都可以在运行时安全地注入自定义逻辑，实现实时追踪、性能分析、流量控制、安全策略等功能。

二、eBPF 核心架构

2.1 程序生命周期

一个 eBPF 程序从加载到执行经历以下阶段：

1. C/源码编译为 BPF 字节码：使用 LLVM/Clang 后端将高级语言编译为 eBPF 字节码（一种 RISC 格式的 64 位指令集）
2. sys_bpf(BPF_PROG_LOAD)：通过系统调用将字节码提交内核
3. Verifier 静态验证：内核验证器对字节码进行数百项安全检查
4. JIT 编译执行：验证通过后，JIT 编译器将字节码翻译为原生机器码
5. 事件触发执行：当挂载点的事件发生时，自动触发 eBPF 程序

2.2 BPF 虚拟机

eBPF 运行时基于一个精简的寄存器式虚拟机：

• 11 个 64 位寄存器：R0-R10，其中 R0 存放返回值，R1-R5 为函数参数，R10 为只读帧指针
• 512 字节栈空间：极小的栈要求程序员使用 Map 传递数据
• 有限指令集：仅支持 bpf.h 定义的标准指令，无任意循环（Verifier 要求所有路径终止）
• 单指令宽度：每条指令 8 字节，便于 Verifier 分析和 JIT 翻译

2.3 Verifier：安全守门人

Verifier 是 eBPF 安全性的绝对核心，它在加载时对字节码进行深度静态分析：

• 控制流检查：构建 CFG（控制流图），禁止不可达指令，禁止无限循环（循环必须有界且可被 fold）
• 类型检查：追踪每个寄存器所有可能类型（标量/指针/map 指针/ctx 指针等），禁止非法类型转换
• 边界检查：所有内存访问必须经过显式边界验证（如 if (offset