不能直接用eBPF trace sys_enter_read/sys_exit_read统计Go程序I/O耗时，因为Go运行时使用epoll_wait或io_uring_enter等非阻塞系统调用，而非read/write；应追踪sys_enter_epoll_wait、sys_enter_io_uring_enter或runtime.syscall入口，并结合业务埋点实现goroutine关联与端到端分析。
为什么不能直接用 eBPF trace syscall enter/exit 算耗时？
eBPF 挂 tracepoint/syscalls/sys_enter_read 和 tracepoint/syscalls/sys_exit_read 确实能捕获系统调用进出，但对 Go 程序来说，**绝大多数 I/O 不走这些路径**。Go 运行时用 epoll_wait、kevent 或 io_uring 做非阻塞轮询，read/write 调用被封装在 runtime 内部（比如 internal/poll.(*FD).Read），实际触发的系统调用是 epoll_wait 或 io_uring_enter，而非业务代码里看到的 conn.Read()。直接 trace sys_enter_read 会漏掉 90% 以上的真实 I/O 耗时点。
真正该 trace 的内核事件是什么？
要统计 Go 程序中「一次 HTTP 请求触发的底层读写耗时」，必须追踪 Go 运行时真正发起的系统调用，而不是用户代码语义上的调用。关键目标是：
-
tracepoint/syscalls/sys_enter_epoll_wait（Linux 4.14+ 默认网络模型） -
tracepoint/syscalls/sys_enter_io_uring_enter（Go 1.22+ 启用GODEBUG=io_uring=1时） -
kprobe/ksymbol:runtime.syscall或kprobe/ksymbol:runtime.entersyscall（需符号支持，定位 goroutine 进入 syscall 的精确时刻）
注意：epoll_wait 本身不读数据，它只是等待就绪；真实耗时在后续的 read 或 recvfrom，但这些调用在 Go 中往往被批量处理、延迟触发，所以单点 trace 仍难对齐业务逻辑。
如何把 eBPF 数据和 Go 的 goroutine 关联起来？
eBPF 无法直接读取 Go 的 goroutine ID 或栈信息，但可以通过以下方式建立弱关联：
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 在 eBPF 程序中用
bpf_get_current_pid_tgid()获取进程+线程 ID，再结合 Go 的/proc/PID/status中的Tgid和Ngid字段做粗粒度匹配 - 在 Go 代码中主动写入 trace context 到 perf buffer：例如在
http.HandlerFunc开头调用ebpf.WriteEvent(&MyEvent{TraceID: req.Context().Value("trace_id")})，eBPF 程序通过共享 map 查找对应事件 - 使用
uprobehookruntime.syscall入口，在寄存器中提取g指针（需go tool objdump -s runtime.syscall your_binary定位寄存器使用），再解析 goroutine ID —— 这需要内核开启CONFIG_BPF_KPROBE_OVERRIDE且风险较高，仅限调试环境
生产环境最稳妥的方式是：**放弃「自动关联」，改用业务埋点 + eBPF 采样交叉验证**。比如在 handler 中记录 time.Now()，同时用 eBPF 抓取该 PID 下所有 epoll_wait 返回时间，再按时间窗口比对分布趋势。
一个可用的最小实践：统计每个 PID 的 epoll_wait 平均耗时
以下 eBPF C 片段（需 clang 编译）可统计各进程在 epoll_wait 上的平均阻塞时间：
SEC("tracepoint/syscalls/sys_enter_epoll_wait")
int trace_epoll_enter(struct trace_event_raw_sys_enter *ctx) {
u64 ts = bpf_ktime_get_ns();
u64 pid = bpf_get_current_pid_tgid() >> 32;
bpf_map_update_elem(&start_time, &pid, &ts, BPF_ANY);
return 0;
}
<p>SEC("tracepoint/syscalls/sys_exit_epoll_wait")
int trace_epoll_exit(struct trace_event_raw_sys_exit <em>ctx) {
u64 pid = bpf_get_current_pid_tgid() >> 32;
u64 </em>tsp = bpf_map_lookup_elem(&start_time, &pid);
if (!tsp) return 0;
u64 delta = bpf_ktime_get_ns() - *tsp;
// 累加到 per-pid 直方图
bpf_map_update_elem(&histogram, &pid, &delta, BPF_ANY);
bpf_map_delete_elem(&start_time, &pid);
return 0;
}这个方案不依赖 Go 符号，兼容所有版本，但只反映「等待就绪」耗时，不包含后续 read 的实际拷贝时间。若要覆盖完整链路，必须配合 Go 层的 net.Conn 包装器打点 —— 这才是生产级监控的合理分工：eBPF 负责 kernel-side 时间，Go 代码负责 user-side 上下文。
真正难的不是写 eBPF，而是决定「你到底想回答什么问题」：是排查某个请求的端到端延迟瓶颈？还是观察某类 syscall 在整个集群的分布异常？前者必须混合埋点，后者用纯 eBPF 就够了。
