Ptrace性能过高，求Linux 5.x+下低开销进程追踪替代方案

针对你提到的ptrace在系统调用密集场景下2-3倍性能损耗的问题，以下是适用于Linux 5.x+内核的低开销替代方案，均满足你的核心需求：

1. eBPF（Extended Berkeley Packet Filter） #

这是目前最主流的低开销追踪方案，完全匹配你的要求：

• 无频繁暂停：eBPF程序运行在内核态，无需暂停目标进程，仅在系统调用的进入/退出点插入轻量级探针（kprobe/kretprobe），对进程运行的影响微乎其微
• 数据获取：可直接读取系统调用的参数、返回值，通过eBPF辅助函数还能安全读取进程内存（需遵循内核权限与内存访问规则）
• 实现方式：可以用bcc、bpftrace工具快速编写脚本，或用C语言编写eBPF程序配合用户态加载器。比如用bpftrace一行命令就能追踪特定系统调用的参数：

  bpftrace -e 'kprobe:sys_open { printf("pid %d open %s\n", pid, str(args->filename)); }'
  

  自定义开发可更精准控制数据采集逻辑，进一步降低开销。

2. perf_event_open + 系统调用追踪 #

利用perf子系统的追踪能力结合内核tracepoint：

• 低暂停开销：通过tracepoint追踪系统调用时，进程不会被主动暂停，perf异步收集事件数据，仅在必要时做极短时间采样（远低于ptrace的暂停开销）
• 数据获取：sys_enter_*和sys_exit_*系列tracepoint会暴露系统调用的参数与返回值，数据通过perf的环形缓冲区传递到用户态，也支持结合perf的内存采样能力读取进程内存
• 实现方式：调用perf_event_open()系统调用配置tracepoint事件，通过mmap的环形缓冲区读取数据。可用perf命令行工具快速验证：

  perf trace -e syscalls:sys_enter_openat -e syscalls:sys_exit_openat
  

3. Kernel Tracepoints + Ftrace #

Ftrace是内核内置的追踪框架，基于tracepoint实现：

• 无进程暂停：Ftrace直接在内核态记录事件，目标进程完全不受暂停影响，事件数据存储在内核缓冲区，用户态异步读取即可
• 数据获取：所有系统调用的进入和退出都对应专门的tracepoint，可直接获取参数和返回值，配合function_graph等功能还能扩展更多信息，也支持通过kprobe附加自定义逻辑读取内存
• 实现方式：通过/sys/kernel/debug/tracing文件系统配置，比如启用系统调用追踪：

  echo syscalls > /sys/kernel/debug/tracing/set_event
  cat /sys/kernel/debug/tracing/trace_pipe
  

  适合快速调试，也能通过脚本自动化配置和数据采集。

方案对比 #

所有方案都无需像ptrace那样在每个系统调用时暂停目标进程，开销通常仅为ptrace的几十分之一，完全能应对系统调用密集型工作负载。

内容的提问来源于stack exchange，提问作者Lelouch