1
// eBPF 程序（与普通 eBPF 程序相同）
2
#include "vmlinux.h"
3
#include <bpf/bpf_helpers.h>
4

5
struct event {
6
    u32 pid;
7
    char comm[16];
8
};
9

10
struct {
11
    __uint(type, BPF_MAP_TYPE_RINGBUF);
12
    __uint(max_entries, 256 * 1024);
13
} events SEC(".maps");
14

15
SEC("tracepoint/syscalls/sys_enter_execve")
16
int trace_execve(struct trace_event_raw_sys_enter *ctx)
17
{
18
    struct event *e = bpf_ringbuf_reserve(&events, sizeof(*e), 0);
19
    if (!e) return 0;
20
    e->pid = bpf_get_current_pid_tgid() >> 32;
21
    bpf_get_current_comm(&e->comm, sizeof(e->comm));
22
    bpf_ringbuf_submit(e, 0);
23
    return 0;
24
}
25

26
char LICENSE[] SEC("license") = "GPL";

1
package main
2

3
import (
4
    "fmt"
5
    "github.com/eunomia-bpf/wasm-eBPF/sdk/go"
6
)
7

8
func main() {
9
    // 初始化 eBPF-Wasm 运行时
10
    runtime := ewasm.NewRuntime()
11
    defer runtime.Close()
12

13
    // 加载 eBPF 程序
14
    if err := runtime.LoadBpfObject("hello.bpf.o"); err != nil {
15
        panic(err)
16
    }
17

18
    // 附加到 tracepoint
19
    if err := runtime.Attach("tracepoint/syscalls/sys_enter_execve"); err != nil {
20
        panic(err)
21
    }
22

23
    // 获取 Map 操作句柄
24
    events := runtime.GetRingBuf("events")
25

26
    fmt.Println("PID     COMM")
27
    for {
28
        event, err := events.Read()
29
        if err != nil {
30
            continue
31
        }
32
        fmt.Printf("%-8d%s\n", event.Pid, event.Comm)
33
    }
34
}

1
// Go SDK 的错误处理
2
value, err := map.Lookup(&key)
3
if err != nil {
4
    if errors.Is(err, ewasm.ErrKeyNotFound) {
5
        // key 不存在，创建新条目
6
        newValue := &Event{Count: 1}
7
        if err := map.Update(&key, newValue, ewasm.UpdateAny); err != nil {
8
            log.Printf("update failed: %v", err)
9
        }
10
    } else {
11
        log.Printf("lookup failed: %v", err)
12
    }
13
}

1
// JIT 模式：将 eBPF 字节码编译为本机码
2
// 性能接近内核 eBPF，但需要运行时生成代码权限
3
bpftime -j hello.bpf.o
4

5
// 解释器模式：逐条解释执行 eBPF 字节码
6
// 性能较低，但兼容性更好，可在受限环境中运行
7
bpftime -i hello.bpf.o

1
# 运行 bpftime 基准测试
2
bpftime benchmark --type uprobe --iterations 100000
3

4
# 运行 Wasm-eBPF 基准测试
5
ewasm benchmark --type uprobe --iterations 100000

1
# 在 macOS 上开发 eBPF 程序
2
# 使用 Wasm-eBPF 运行时测试
3
ewasm run my-ebpf-app.wasm
4

5
# 部署到 Linux 生产环境
6
# Wasm 运行时自动切换为内核 eBPF 加载

1
# 调试 eBPF 内核态部分
2
sudo bpftool prog show          # 查看已加载的 eBPF 程序
3
sudo bpftool map show           # 查看 Map 状态
4
sudo cat /sys/kernel/debug/tracing/trace_pipe  # 查看 bpf_trace_printk 输出
5

6
# 调试 Wasm 用户态部分
7
WASM_DEBUG=1 ewasm run my-app.wasm  # 启用 Wasm 调试日志

1
# 1. 验证 eBPF 程序是否加载成功
2
sudo bpftool prog list | grep trace_execve
3
# 如果没有输出，检查验证器日志：
4
sudo dmesg | grep bpf
5

6
# 2. 检查 Map 数据是否正确
7
sudo bpftool map dump name events
8
# 如果 Map 为空，检查 eBPF 程序的 attach 状态
9

10
# 3. 追踪 Wasm-eBPF 运行时内部行为
11
EWASM_LOG=debug ewasm run my-app.wasm 2>&1 | head -50
12

13
# 4. 对比原生 eBPF 和 Wasm-eBPF 的输出
14
# 先用 bpftool 运行原生版本
15
sudo bpftool prog load hello.bpf.o /sys/fs/bpf/hello type tracepoint
16
# 再用 Wasm-eBPF 运行，对比结果

1
# 安装 eunomia-bpf 工具
2
wget https://github.com/eunomia-bpf/eunomia-bpf/releases/latest/download/ecc
3
chmod +x ecc
4

5
# 编译 eBPF 程序为 Wasm Bundle
6
./ecc hello.bpf.c
7

8
# 运行
9
ecli run hello.bpf.o

1
# 安装 bpftime
2
curl -fsSL https://github.com/eunomia-bpf/bpftime/releases/latest/download/install.sh | bash
3

4
# 使用 bpftime 运行 eBPF 程序
5
bpftime load hello.bpf.o
6

7
# 查看输出
8
bpftime trace

1
# 使用 eunomia-bpf 模板创建项目
2
ecc init my-plugin --template wasm
3

4
# 编写 eBPF 程序和 Wasm 用户态逻辑
5
cd my-plugin
6
# 编辑 hello.bpf.c 和 app.rs
7

8
# 编译
9
make
10

11
# 运行
12
ecli run bundle.json