eBPF编程实战：从入门到指令调试

1. eBPF编程前端概览

eBPF（Extended BPF）是Linux内核中一个通用的虚拟机执行引擎，最初用于包过滤，现已扩展到跟踪、性能分析、安全等多个领域。编写eBPF程序有多种前端途径，从底层到高层可分为：

1.1 LLVM（底层）

LLVM编译器支持将C/LLVM IR直接编译为BPF字节码。开发者可以编写C代码并通过Clang生成BPF目标文件，适合对性能或指令级控制有极致要求的场景。但大多数性能工具开发者无需直接操作LLVM IR。

1.2 BCC（中间层）

BCC（BPF Compiler Collection）提供Python/Lua前端，允许用C编写eBPF程序并在运行时编译。其内部使用LLVM库，降低了开发门槛。BCC性能优秀，适合生产环境。

1.3 bpftrace（高层）

bpftrace提供类似awk的高级语言，内置探针语法，适合快速编写诊断脚本。其底层也依赖LLVM编译。

下表对比三种前端的差异：

特性	LLVM	BCC	bpftrace
编程语言	C / LLVM IR	C + Python/Lua	专属高级语