2、BPF 编程入门：基础与实践

BPF 编程入门：基础与实践

1. BPF 概述

BPF 已成为顶级内核子系统，不再局限于网络栈。它强调安全性和稳定性，与内核模块不同，BPF 程序无需重新编译内核，且保证运行时不会崩溃。BPF 验证器确保程序安全运行，防止访问越界内存，但程序有大小限制，循环需有界以避免内存耗尽。

为了让用户空间能访问 BPF，内核开发者添加了新的系统调用bpf，它是用户空间和内核通信的核心。BPF 映射则是内核与用户空间交换数据的主要机制。

2. BPF 架构

BPF 是一个高度先进的虚拟机，在隔离环境中运行代码指令，类似于 Java 虚拟机（JVM）。编译器如 LLVM 支持将 C 代码编译成 BPF 指令。编译后的代码通过验证器确保安全，安全的程序会被加载到内核中。Linux 内核还为 BPF 指令集成了即时（JIT）编译器，验证后将 BPF 字节码转换为机器码，避免运行时开销。

在运行 BPF 程序前，内核需知道程序的执行点，这些执行点由 BPF 程序类型定义。选择执行点时，内核会提供特定的函数辅助工具，使执行点与 BPF 程序紧密耦合。

BPF 架构的最后一个组件是 BPF 映射，用于在内核和用户空间之间共享数据。它是双向结构，有多种类型，包括简单数组、哈希映射和可存储整个 BPF 程序的专用映射。

下面是 BPF 程序运行的流程图：

graph TD; A[编写 C 代码] --> B[LLVM 编译成 BPF 指令]; B --> C[BPF 验证器验证]