eBPF程序执行三类基础问题咨询（侧重BPF_PROG_TYPE_PERF_EVENT）

问题1：触发线程与eBPF程序的执行关系 #

对于BPF_PROG_TYPE_PERF_EVENT类型的程序：

• eBPF程序在触发事件的同一CPU上同步执行，触发该事件的任务/线程会被暂停，直到eBPF程序执行完毕后才会继续运行，二者不存在并行执行的情况。
• 其他程序类型的执行上下文差异，可通过文末的官方资料渠道查询。

问题2：查询eBPF程序的上下文参数 #

针对PERF_EVENT类型 #

传递给该类型程序的上下文是struct bpf_perf_event_data，定义在内核头文件include/uapi/linux/bpf.h中，核心字段包括：

• __u64 sample_period：性能事件的采样周期
• __u64 addr：触发采样的指令地址
• struct pt_regs *regs：触发时的寄存器状态

通用查询渠道 #

• 内核头文件include/uapi/linux/bpf.h：每个BPF_PROG_TYPE_*类型都对应明确的上下文结构定义
• 手册页bpf(2)：补充部分程序类型的上下文说明，结合bpf-helpers(7)辅助理解
• 内核源码示例：tools/bpf/目录下的libbpf示例程序（如perf_event相关示例），可直接看到上下文的实际使用方式

问题3：eBPF程序返回值的实际影响 #

针对PERF_EVENT类型 #

该类型程序的返回值不会被内核处理，无实际意义，仅需保证返回一个64位整数（符合eBPF寄存器要求）即可。

通用规则与查询渠道 #

返回值的意义完全由程序类型决定：

• 例如BPF_PROG_TYPE_SOCKET_FILTER返回值决定是否保留数据包（非0保留，0丢弃）；BPF_PROG_TYPE_XDP返回值决定数据包的处理动作（如XDP_PASS/XDP_DROP）
• 查询渠道：
  1. 内核头文件include/uapi/linux/bpf.h：部分程序类型会注释返回值的含义
  2. 手册页bpf(2)和对应程序类型的专项手册（如xdp(7)）
  3. 内核文档Documentation/bpf/prog_types.rst：按程序类型梳理返回值规则

官方资料来源 #

• 内核源码头文件：include/uapi/linux/bpf.h（最权威的定义来源）
• Linux手册页：bpf(2)、bpf-helpers(7)、perf-event-open(2)
• 内核官方文档：内核源码树中Documentation/bpf/目录下的所有文档
• libbpf示例程序：内核源码树tools/bpf/目录下的可运行示例

内容的提问来源于stack exchange，提问作者Eyjafl