必须用libbpf-go而非cilium/ebpf，因其通过读取/sys/kernel/btf/vmlinux动态解析trace_event_raw_sys_enter等结构体字段偏移与命名；cilium/ebpf依赖硬编码，在5.15+内核中易读错args[0]导致filename为空或乱码且静默失败。
生产环境做内核监控，必须用 libbpf-go，不是因为它写起来顺手，而是 cilium/ebpf 在 tracepoint 场景下会静默读错字段——比如 sys_enter_execve 的 args[0] 变成空字符串，你根本收不到错误提示。
为什么非得用 libbpf-go 而不是 cilium/ebpf
核心就一条：libbpf-go 会读 /sys/kernel/btf/vmlinux，动态推导 trace_event_raw_sys_enter 这类结构体的字段偏移和命名；cilium/ebpf 全靠硬编码，内核一升级（比如从 5.15 到 6.1），ctx->args[0] 就可能指向 padding 字节或已重命名字段，bpf_probe_read_user_str 返回 -EFAULT，但 loader 默认忽略，数据进 ringbuf 就是全 \x00。
常见现象包括：
-
ringbuf.Read()拿到事件，filename字段为空或乱码 - 同一份代码在 Ubuntu 22.04（内核 5.15）能跑，在 24.04（6.8）直接 attach 失败，报
no such device - 加了
sudo、开了cap_sys_admin、确认/sys/kernel/debug/tracing/events/syscalls/...可写，还是失败——这不是权限问题，是类型解析断了
编译 eBPF C 代码时必须注意的三件事
libbpf-go 不负责编译，只加载 .o 文件。你的 C 代码必须由 clang -target bpf 编译，且不能越界：
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 优化级别只能用
-O2；-O3会触发 verifier 拒绝，报invalid argument - 禁用
-mcpu=v3等新指令集扩展，否则老内核加载失败 - 不要用
printf或浮点运算；eBPF 校验器不认__builtin_bswap64以外的 builtin 函数
典型命令：clang -g -O2 -target bpf -c trace_openat.c -o trace_openat.o
Go 侧加载和读取 map 的安全姿势
libbpf-go 的 Go 结构体字段名不是按 C 里写的来，而是由 bpf2go 工具生成，必须严格匹配：
- 检查生成的
*_bpfel.go文件，找类似objs.TraceOpenat的结构体字段名；C 里叫handle_tp，Go 侧实际是HandleTp，不是Handle_tp - 读
perf_event_array时，必须用PerfEventArray.Read()+ 手动解析 ring buffer，不能用Map.Lookup - 读自定义 map（如
BPF_MAP_TYPE_HASH）优先用Map.LookupAndDeleteBatch，避免单次 syscall 开销和并发覆盖
字段对齐必须一致：内核用 __u64，Go 就得用 uint64；混用 int64 会导致读出来高位全 1。
运行前必须验证的四个系统条件
libbpf-go 依赖内核 BTF 和调试接口，缺一不可：
- 确认内核配置开启：
CONFIG_BPF_SYSCALL=y和CONFIG_DEBUG_INFO_BTF=y（zcat /proc/config.gz | grep BTF） - 检查
/sys/kernel/btf/vmlinux是否存在且可读；没有它，BTF 解析直接 fallback 到硬编码，等于回到 cilium/ebpf 的坑里 - 运行时需
sudo或显式赋予cap_sys_admin；容器中要加--privileged或--cap-add=SYS_ADMIN - 若用 tracepoint，确保对应子系统启用，例如：
echo 1 > /sys/kernel/debug/tracing/events/syscalls/sys_enter_openat/enable
最容易被忽略的是 BTF 文件缺失——很多云厂商默认镜像（如 Amazon Linux 2023、Ubuntu Cloud）不打包 vmlinux，得手动安装 kernel-debuginfo 包或用 bpftool btf dump file /sys/kernel/btf/vmlinux format c 验证是否可解析。
