strace中clone()返回非PID的原因及PID映射异常排查

• 多层PID命名空间嵌套未处理：你维护的pid_offset映射只覆盖了单层PID命名空间（PIDNS），但如果进程创建了嵌套的PIDNS（比如进程A创建带CLONE_NEWPID的进程B，B再创建带CLONE_NEWPID的进程C），进程C在宿主PIDNS中的真实PID需要经过两层偏移转换，单层映射会完全漏掉这类PID的追踪。
• 非clone路径的进程创建：部分进程并非通过clone/fork创建，比如进程通过setns进入已有PIDNS后调用execve替换镜像，或者容器管理工具直接在宿主侧启动进程并加入目标PIDNS，这类操作不会触发clone调用，自然不会出现在strace的clone记录中。
• strace追踪范围受限：如果strace仅附着在单个父进程上（未加-f参数追踪子进程），或者漏掉了系统中其他创建进程的父进程（比如init/systemd、容器 runtime），这些未被追踪的进程创建的PID就不会有记录。
• 特殊clone标志的解析错误：新版内核支持CLONE_PIDFD标志，此时clone的返回值是进程文件描述符（pidfd）而非PID，若你直接将返回值当作PID处理，会导致映射错误，同时对应的真实PID未被正确记录。

• 维护多层PIDNS映射关系
  • 遍历/proc目录下所有进程，读取/proc/[pid]/ns/pid识别不同PIDNS实例，通过/proc/[pid]/status中的NSpid字段（格式为NSpid: <NS内PID> <宿主PID> ...）建立每层NS内PID到宿主PID的映射。
  • 追踪到clone(CLONE_NEWPID)调用时，同步记录新PIDNS的实例ID，并关联其与父NS的映射，处理嵌套场景下的PID转换。
• 改用eBPF内核态追踪工具
  • 替换strace为eBPF工具（如bcc套件的execsnoop-bpfcc、pidsnoop-bpfcc），直接在内核态捕获所有进程创建相关的系统调用（clone/fork/vfork/execve），不受用户态进程附着限制，能覆盖所有命名空间下的进程。
  • 例如pidsnoop-bpfcc可以实时输出所有新创建进程的PID、父PID、所属PIDNS等信息，无需手动维护映射。
• 全进程树追踪+动态映射更新
  • 启动strace时添加-f参数追踪所有子进程，同时用-e clone,fork,vfork,execve过滤仅关注进程创建相关调用。
  • 定时或触发事件时解析/proc下的PIDNS信息，动态更新PID映射表，避免嵌套NS或动态加入NS的进程被遗漏。
• 正确解析特殊clone标志
  • 解析clone调用的flags参数，若包含CLONE_PIDFD，则通过pidfd_getpid()系统调用或读取/proc/self/fd/[pidfd]对应的进程信息获取真实PID，而非直接使用clone的返回值。

内容的提问来源于stack exchange，提问作者frans