使用eBPF注册tracepoint/kprobe回调相比传统内核机制有何优势？

• 无需内核模块编译与加载：直接注册tracepoint通常要编写内核模块，得匹配内核版本、搭建编译环境，还得处理模块加载的权限和兼容问题。eBPF程序在用户态编写编译，经内核验证后就能直接加载，不用修改内核源码或编译模块，适配不同内核版本的成本低太多。
• 安全性更有保障：eBPF程序会经过内核验证器严格检查，确保不会出现内存越界、死循环这类破坏内核稳定性的操作，运行在安全沙箱里。而直接写内核模块注册tracepoint，一旦代码有bug，很容易导致内核panic甚至系统崩溃，风险极高。
• 动态调整更灵活：eBPF程序可以随时加载、卸载、更新，不用重启系统或中断业务。直接注册tracepoint的话，修改逻辑就得重新编译模块、卸载再加载，对在线业务影响很大。另外，eBPF还支持运行时动态调整采集逻辑，结合map能实现数据聚合、过滤，轻松处理复杂分析需求。
• 内核态与用户态交互高效：eBPF提供哈希表、数组、环形缓冲区等多种map类型，能高效在内核和用户态之间传递数据，不像传统tracepoint那样依赖复杂的管道或文件系统传输，性能损耗更低。用户态程序还能实时读取map里的数据，实现实时监控分析。
• 工具链成熟易用：现在有bcc、bpftrace、cilium这类成熟的eBPF工具，就算不深入掌握eBPF底层细节，也能快速编写、调试程序。而直接注册tracepoint得从头写内核模块，调试难度大，配套工具也不完善。
• 跨场景扩展能力强：eBPF不光能处理tracepoint，还支持kprobe、uprobe、XDP等多种钩子，一套技术栈就能覆盖内核跟踪、网络优化、安全审计等多个场景。直接注册tracepoint只能针对特定事件，扩展空间有限。

内容的提问来源于stack exchange，提问作者Mario