Linux内核4.19.90下eBPF tracepoint能否同时获取参数与返回值？

单个tracepoint程序能否同时拿到参数和返回值？ #

不能。在4.19.90内核中，系统调用的sys_enter和sys_exit是两个独立的tracepoint节点：

• 绑定sys_enter的BPF程序只能捕获调用时的参数，此时系统调用还未执行，返回值不存在；
• 绑定sys_exit的BPF程序只能拿到执行后的返回值，此时调用参数已经无法从当前tracepoint上下文直接获取。

所以你必须采用“分阶段存取”的方案：在sys_enter阶段把参数存入BPF map，到sys_exit阶段再通过唯一标识匹配取出参数，和返回值一起处理。

以<pid, syscall_num>作为map键存储参数是否安全？ #

不安全，核心问题有两个：

1. 多线程参数覆盖：同一进程内的多个线程共享pid，但每个线程的系统调用是独立的。如果多个线程同时调用同一个系统调用，<pid, syscall_num>的键会重复，后写入的参数会覆盖先写入的，导致sys_exit时拿到的参数和当前返回值不匹配。
2. 内存泄漏风险：如果进程在触发sys_enter后异常退出，没走到sys_exit流程，map里的对应条目会一直留存，长期运行会占用额外内存。

更稳妥的实践方案：

• 用<tid, syscall_num>作为map键，线程ID（tid）是每个线程的唯一标识，能避免多线程场景下的键冲突；
• 在sys_exit处理完成后，立即从map中删除对应条目，减少无效内存占用；
• 可以给map条目添加超时逻辑，定期清理超过一定时间未被访问的条目，进一步避免异常场景下的内存泄漏。

内容的提问来源于stack exchange，提问作者Azerrroth