多线程应用场景下如何唯一识别uprobes解决eBPF映射键冲突

核心思路 #

要解决多线程调用交错、嵌套调用（如malloc内部调用mmap）的键冲突问题，必须生成每个调用实例唯一的标识，不能依赖单一PID/TGID或常量键。

1. 栈帧ID + PID/TGID复合键 #

利用bpf_get_stackid()获取当前调用栈的唯一ID，结合bpf_get_current_pid_tgid()的结果组成复合键：

• 预先创建BPF_MAP_TYPE_STACK_TRACE类型的映射，用于存储栈信息
• Entry探针中，获取栈ID后，将{pid_tgid, stack_id}作为映射键
• 该方案能区分同一线程内的嵌套调用（如malloc内部触发的mmap），也能区分多线程的并发调用

示例键结构（eBPF C代码）：

struct call_key {
    u64 pid_tgid;
    u32 stack_id;
};

2. Per-CPU序列号 + PID/TGID复合键 #

为每个CPU维护一个递增的序列号，结合PID/TGID生成唯一键：

• 创建BPF_MAP_TYPE_PERCPU_ARRAY映射，存储每个CPU的当前序列号
• Entry探针中，获取当前CPU ID，原子递增对应序列号，将{pid_tgid, seq_num}作为键
• 序列号仅需在PID/TGID范围内唯一，可使用32位循环值避免溢出

示例代码片段：

// Per-CPU序列号映射定义
struct bpf_map_def SEC("maps") cpu_seq_map = {
    .type = BPF_MAP_TYPE_PERCPU_ARRAY,
    .key_size = sizeof(u32),
    .value_size = sizeof(u32),
    .max_entries = 1,
};

// Entry探针生成键
struct call_key k;
k.pid_tgid = bpf_get_current_pid_tgid();
u32 cpu = bpf_get_smp_processor_id();
u32 *seq_ptr = bpf_map_lookup_elem(&cpu_seq_map, &cpu);
if (seq_ptr) {
    k.seq_num = __sync_fetch_and_add(seq_ptr, 1);
}

3. 指令指针（IP）+ 栈指针（SP）复合键 #

直接使用当前调用的指令指针和栈指针作为键：

• 线程栈空间独立，嵌套调用的栈指针（SP）必然不同；指令指针（IP）可区分malloc和mmap等不同函数
• 在uprobes触发的上下文里，SP和IP的稳定性较高，能保证每个调用实例的键唯一

4. 嵌套调用优化：调用深度标记 #

若需明确区分嵌套调用层级，可维护Per-CPU的调用深度计数器：

• Entry探针中，对应函数的调用深度+1；Exit探针中，调用深度-1
• 将调用深度作为复合键的一部分，配合PID/TGID使用，可精准识别同一线程内的嵌套调用链

注意事项 #

• 所有复合键需在映射定义中使用对应结构体类型，确保键的唯一性
• 测试需覆盖多线程并发调用、malloc内部调用mmap等场景，验证无键冲突
• 合理设置映射的max_entries，避免内存占用过高
• Exit探针必须严格使用Entry探针生成的键查找、删除条目，防止残留无效数据

内容的提问来源于stack exchange，提问作者Vojak