5、eBPF 编程：从字节码到内核执行全解析

eBPF 编程：从字节码到内核执行全解析

1. eBPF 基础概念

eBPF（Extended Berkeley Packet Filter）程序的字节码指令需要转换为能在 CPU 上运行的原生机器指令。早期，eBPF 字节码指令在内核中被解释执行，即每次程序运行时，内核检查指令并将其转换为机器码再执行。但出于性能考虑以及避免 eBPF 解释器中与 Spectre 相关的漏洞，现在大多采用 JIT（Just-In-Time）编译，这样在程序加载到内核时，转换为原生机器指令的操作仅需进行一次。

eBPF 字节码由一组指令组成，这些指令作用于（虚拟）eBPF 寄存器。eBPF 指令集和寄存器模型设计为能很好地映射到常见的 CPU 架构，使得从字节码编译或解释为机器码的过程相对简单。

2. eBPF 寄存器

eBPF 虚拟机使用 10 个通用寄存器，编号从 0 到 9。此外，寄存器 10 用作栈帧指针，只能读取不能写入。在 BPF 程序执行时，值会存储在这些寄存器中以跟踪状态。需要注意的是，eBPF 虚拟机中的这些寄存器是通过软件实现的，在 Linux 内核源代码的 include/uapi/linux/bpf.h 头文件中，可以看到它们从 BPF_REG_0 到 BPF_REG_10 的枚举定义。

在 eBPF 程序执行前，上下文参数会被加载到寄存器 1 中，函数的返回值存储在寄存器 0 中。在从 eBPF 代码调用函数之前，函数的参数会被放置在寄存器 1 到寄存器 5 中（如果参数少于 5 个，则不会使用所有这些寄存器）。

3.