直接用 socket 系统调用追踪会漏掉连接，因为 ebpf 无法 hook 用户态 go 的 net.dial，且 go 默认启用 epoll/io_uring、支持 af_unix 和 cgo 绕过系统调用，需组合跟踪 connect/accept4/sendto/recvfrom/close。
为什么直接用 socket 系统调用追踪会漏掉连接？
eBPF 无法直接 hook 用户态 socket API（如 net.Dial），它只能跟踪内核态的系统调用入口。但很多 Go 程序使用 net.Conn 抽象，底层可能走 connect(2)、accept(2)，也可能走 sendto(2)/recvfrom(2)，甚至绕过系统调用（如 AF_UNIX 或某些 cgo 封装）。更关键的是：Go 的 net 包在 Linux 上默认启用 epoll + io_uring（1.21+），部分路径不触发传统 sys_enter_connect。
所以不能只盯 sys_enter_connect —— 必须组合跟踪：
-
sys_enter_connect和sys_exit_connect：捕获主动连接建立（含失败） -
sys_enter_accept4（或sys_enter_accept）：捕获被动连接 -
sys_enter_sendto/sys_enter_recvfrom：观察数据流向（注意：UDP 和 TCP 都走这里） -
sys_enter_close：配合 socket fd 生命周期，避免 fd 复用导致关联错乱
如何从 eBPF map 中安全读取 Go 进程的 socket 元信息？
Go 进程的 struct sock 地址不能直接从用户栈拿到，必须通过内核上下文提取。常见错误是直接读 sk->sk_family 或 sk->sk_saddr 而不校验指针有效性 —— 这会导致 eBPF verifier 拒绝加载或运行时 invalid mem access 错误。
正确做法是用 bpf_probe_read_kernel() 分步读取，并检查返回值：
struct sock *sk = (struct sock *)PT_REGS_PARM1(ctx);
u16 family;
if (bpf_probe_read_kernel(&family, sizeof(family), &sk->sk_family) != 0)
return 0;
if (family != AF_INET && family != AF_INET6)
return 0;
另外，Go 的 goroutine 调度可能导致同一 socket 在不同 CPU 上被频繁切换，建议在 eBPF 端用 pid_tgid + fd 作为 map key，用户态聚合时再按进程/线程维度归并。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
Go 程序中如何避免 eBPF 事件丢失？
eBPF perf event ring buffer 默认大小小（通常 4MB），而 Go 高频短连接（如 HTTP client）容易瞬间打满 buffer，表现为用户态 perf_reader_poll() 返回 -EAGAIN 或静默丢事件。
解决方案不是简单调大 buffer，而是分层控制：
- 在 eBPF 端加过滤：例如只跟踪
connect成功（ret >= 0）且目标端口在[80, 443, 3000-3999]的事件 - 用户态用
libbpf-go时，显式设置PerfEventAttr.SamplePeriod = 1（禁用采样），并调用SetWatermark(1)让内核尽快唤醒 - 启动时预分配足够大的 ring buffer：例如
PerfEventArray.SetSize(128 * 1024)（单位是页） - 务必启用
PerfEventArray.Poll()的非阻塞模式，并循环Read()直到返回nil，否则一次 poll 只取一个事件
为什么用 bpf_get_current_comm() 拿不到 Go 的 Goroutine 名？
bpf_get_current_comm() 返回的是当前 task 的 comm 字段（即进程名，如 "myserver"），不是 goroutine 名。Go 的 goroutine 是用户态调度器管理的，内核无感知。想区分 HTTP handler 和 background worker，不能靠 comm，得靠上下文线索：
- 读取用户栈，尝试解析
runtime.goexit附近的函数符号（需提前bpf_module_load()加载 Go binary 的 DWARF 信息） - 在用户态根据
pid+tid查/proc/[pid]/task/[tid]/stack（有权限前提下） - 更实用的方式：在 Go 代码中写入自定义 tracepoint（用
github.com/cilium/ebpf的Link.RawTracepoint()注册用户态 probe），由业务代码显式标记关键路径
别试图在 eBPF 里解析 Go runtime 的 G struct —— 它没有稳定 ABI，版本一升级就崩。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
