7、深入理解 bpf() 系统调用：用户空间与 eBPF 程序的交互

深入理解 bpf() 系统调用：用户空间与 eBPF 程序的交互

在用户空间应用程序需要内核为其执行某些操作时，通常会借助系统调用 API 来发起请求。当用户空间应用程序想要将 eBPF 程序加载到内核中时，必然也会涉及到一些系统调用。其中， bpf() 系统调用就承担了这一重要角色，我们将深入探讨它是如何用于加载和与 eBPF 程序及映射进行交互的。

1. bpf() 系统调用概述

bpf() 系统调用的作用是“对扩展的 BPF 映射或程序执行命令”，其函数签名如下：

int bpf(int cmd, union bpf_attr *attr, unsigned int size);

• cmd ：指定要执行的命令， bpf() 系统调用并非只能完成单一任务，它有许多不同的命令可用于操作 eBPF 程序和映射。
• attr ：保存指定命令所需的参数数据。
• size ：表示 attr 中数据的字节数。

2. 示例程序介绍

我们以一个名为 hello-buffer-config.py 的 BCC 程序为例，它基于之前的示例进行了扩展。该程序在每次运行时会向性能缓冲区发送消息，传递内核中 execve() 系统调用事件