eBPF程序何时需要指定段名，何时无需使用？

需要指定段名的场景 #

• 基于libbpf类框架（包括libbpf-bootstrap、eunomia等）开发时：这类框架依赖eBPF段名来识别程序类型、挂载目标。比如kprobe程序需要用SEC("kprobe/目标函数名")明确挂钩的内核函数，tracepoint程序用SEC("tracepoint/子系统/事件名")，内核会通过段名完成程序的附加逻辑。
• 直接操作eBPF字节码、使用原生内核加载接口时：必须通过段名定义程序的用途，否则内核无法识别该程序要挂载到哪个hook点。

无需指定段名的场景 #

• 使用BCC框架开发时：BCC会通过上层API（比如Python代码里的attach_kprobe、attach_tracepoint调用）自动生成并处理段名，用户只需要在eBPF代码中定义处理函数即可，不用手动写SEC宏指定段名。

你提到的两个示例差异就源于此：第一个示例是BCC工具，所以kprobe函数不用指定段名，框架自动搞定挂载；第二个示例基于libbpf类框架，必须通过段名告诉加载器程序的挂载目标。

内容的提问来源于stack exchange，提问作者user3882729