如何在eBPF中正确比较两个动态长度字符串？

问题背景 #

定义了如下类型与变量：

#define PATH_SEGMENT_LEN 255
typedef unsigned char path_segment[PATH_SEGMENT_LEN];
...
path_segment *a = bpf_map_lookup_elem(&cpu_buffer, &j);
if (!a)
    break;

path_segment *b = current_element->path_elements[i];
...

尝试用__builtin_memcmp比较两个字符串时，仅当比较长度设为1时能正确判定相等，设为PATH_SEGMENT_LEN时返回不相等，推测是未使用的254字节内容不匹配。

尝试循环遍历比较时触发内存访问错误，代码如下：

path_segment *a = bpf_map_lookup_elem(&cpu_buffer, &j);
if (!a)
{
break;
}
    
path_segment *b = current_element->path_elements[i];
    
for (unsigned int o = 0; o < PATH_SEGMENT_LEN; o++)
{
   unsigned char x = *a[2];
   if (x == '\0')
   {
      break;
   }
   bpf_printk("%c", x);
}

对应的错误提示：

125: (bf) r6 = r0                     ; frame1: R0_w=map_value_or_null(id=4,map=cpu_buffer,ks=4,vs=255) R6_w=map_value_or_null(id=4,map=cpu_buffer,ks=4,vs=255) cb
; if (!a)
126: (15) if r6 == 0x0 goto pc+12     ; frame1: R6_w=map_value(map=cpu_buffer,ks=4,vs=255) cb
127: (b7) r7 = 255                    ; frame1: R7=255 cb
; unsigned char x = *a[2];
128: (71) r3 = *(u8 *)(r6 +510)
invalid access to map value, value_size=255 off=510 size=1
R6 min value is outside of the allowed memory range

问题1：数组访问偏移错误的修复 #

path_segment是长度为255的unsigned char数组，path_segment *a本质是指向数组的指针。在C语言中，a[2]会被解析为*(a + 2)，即跳过2个完整的path_segment结构（每个255字节），对应偏移2*255=510，这就是错误的根源。

要访问a指向的数组中第o个元素（偏移o），需要先解引用指针再访问下标：

// 正确写法：先取a指向的数组，再访问下标o
unsigned char x = (*a)[o];

或者用指针算术实现：

unsigned char x = *( (unsigned char*)a + o );

问题2：可行的eBPF动态字符串比较方法 #

因为两个字符串是动态长度（以\0结尾），直接用__builtin_memcmp比较整个PATH_SEGMENT_LEN长度会因为未初始化的内存导致结果错误。以下是两种可靠的实现方式：

方式1：逐字节循环比较 #

手动遍历字节直到遇到\0，同时限制最大遍历长度避免越界：

static inline bool path_segments_equal(path_segment *a, path_segment *b) {
    if (!a || !b)
        return false;
    
    for (unsigned int o = 0; o < PATH_SEGMENT_LEN; o++) {
        unsigned char c1 = (*a)[o];
        unsigned char c2 = (*b)[o];
        if (c1 != c2)
            return false;
        if (c1 == '\0')
            return true; // 遇到终止符且前面字节都相等，直接返回
    }
    // 遍历完所有字节未遇\0，但全部相等
    return true;
}

调用示例：

bool equal = path_segments_equal(a, b);

方式2：使用bpf_strncmp（推荐） #

部分eBPF环境支持bpf_strncmp内置函数，它会自动处理以\0结尾的字符串，同时限制最大比较长度，避免越界：

// 比较前PATH_SEGMENT_LEN字节，遇到\0自动停止
int cmp = bpf_strncmp( (const char*)*a, (const char*)*b, PATH_SEGMENT_LEN );
bool equal = (cmp == 0);

注意：bpf_strncmp的兼容性需根据内核版本确认，一般5.10+内核支持该函数。

额外注意事项 #

• 存储字符串时，确保用bpf_probe_read_kernel_str将字符串完整写入path_segment，包括终止符\0，否则比较会因找不到终止符而遍历全部255字节。
• 对于BPF_MAP_TYPE_PERCPU_ARRAY中的数据，每个CPU的数组元素独立，需确保读取的是当前CPU的正确元素。

内容的提问来源于stack exchange，提问作者DazDylz