1.介绍：
1.1：eBPF简介：eBPF(extendedBerkeleyPacketFilter)是内核源自于BPF的一套包过滤机制，BPF可以理解成用户与内核之间的一条通道，有非常强大的功能。一个典型的BPF程序流程为：用户程序调用syscall(__NR_bpf，BPF_MAP_CREATE，&attr，sizeof(attr))申请创建一个map，在attr结构体中指定map的类型、大小、最大容量等属性。用户程序调用syscall(__NR_bpf，BPF_PROG_LOAD，&attr，sizeof(attr))来将我们写的BPF代码加载进内核，attr结构体中包含了指令数量、指令首地址指针、日志级别等属性。在加载之前会利用虚拟执行的方式来做安全性校验，这个校验包括对指定语法的检查、指令数量的检查、指令中的指针和立即数的范围及读写权限检查，禁止将内核中的地址暴露给用户空间，禁止对BPF程序stack之外的内核地址读写。安全校验通过后，程序被成功加载至内核，后续真正执行时，不再重复做检查。用户程序通过调用setsockopt(sockets[1]，SOL_SOCKET，SO_ATTACH_BPF，&progfd，sizeof(progfd)将我们写的BPF程序绑定到指定的socket上。Progfd为上一步骤的返回值。用户程序通过操作上一步骤中的socket来触发BPF真正执行。eBPF虚拟指令系统属于RISC，拥有10个虚拟寄存器，r0-r10，在实际运行时，虚拟机会把这10个寄存器一一对应于硬件CPU的10个物理寄存器。用户可以用eBPF指令字节码的形式向内核输送代码，并通过事件来触发内核执行用户提供的代码；同时以map（key，value）的形式来和内核共享数据，用户层向map中写数据，内核层从map中取数据，反之亦然。eBPF可用于内核的跟踪和调试，网络事件的过滤和安全性。一般机制是：用户空间将一个特殊的汇编字节码加载到内核中，并附带说明附加程序的位置，内核运行一个“验证器”来确保程序是安全的，内核将字节码转换为本地代码，并将其附加到请求的位置。
