RingBuf在libbpf中无C++封装，需用C API（如ring_buffer__new、ring_buffer__poll）调用；回调须extern "C"，结构体须packed对齐，解析前须跳过perf_event_header并校验长度。
RingBuf在libbpf C++绑定中没有直接封装
libbpf本身是C库，官方不提供C++类封装；所谓“C++提取RingBuf数据”，实际是用C风格API（ring_buffer__new、ring_buffer__poll）在C++代码里调用。很多开发者误以为有 RingBuffer::read() 这类方法，结果编译报错或链接失败。
关键点：必须手动管理 struct ring_buffer* 生命周期，且回调函数必须是C linkage（extern "C"），否则 ring_buffer__new 传入的回调地址会被C++ name mangling 破坏，导致静默丢数据或段错误。
- 回调函数必须声明为
extern "C" int my_callback(void *ctx, void *data, size_t data_sz) -
ring_buffer__new的第三个参数（ctx）可传入this指针，但回调内不能直接调用成员函数——需通过static成员或全局函数中转 - 不要在回调里做耗时操作（如格式化字符串、写文件），否则会阻塞内核 RingBuf 消费，引发丢包
如何正确解析perf event header和自定义结构体
eBPF程序往RingBuf写数据时，常混用 bpf_ringbuf_output() 和 bpf_perf_event_output()；前者写裸数据，后者自动加 struct perf_event_header 头。若eBPF侧用了后者，用户态必须先跳过这个头才能访问业务字段——否则读出来的全是乱码或偏移错误。
典型错误：把整个 data 当作你的结构体指针强转，没检查 data_sz 是否足够，也没跳过 sizeof(struct perf_event_header)。
立即学习“C++免费学习笔记（深入）”；
- 判断是否含 perf header：
if (data_sz > sizeof(struct perf_event_header)) - 安全访问业务数据：
auto *payload = static_cast<const my_event_t>((char*)data + sizeof(struct perf_event_header))</const> - 务必校验
data_sz >= sizeof(struct perf_event_header) + sizeof(my_event_t)，否则 memcpy 或访问会越界
ring_buffer__poll 阻塞/超时与信号中断处理
ring_buffer__poll 默认阻塞，但生产环境必须设超时（比如100ms），否则 Ctrl+C 无法退出、SIGINT 被忽略，或容器被 kill 时进程卡死。
更隐蔽的问题是：当 poll 被信号中断（errno == EINTR），libbpf 不会自动重试，直接返回 -1——你得自己循环重试，否则数据流会永久中断。
- 调用时传
timeout_ms = 100，避免无限等待 - 检查返回值：
if (ret == -1 && errno == EINTR) continue; - 不要忽略
ret == 0（超时无数据），这是正常情况，不是错误 - 若需响应 SIGINT，建议在 poll 前用
sigprocmask临时屏蔽信号，或用signalfd统一处理，避免竞态
内存对齐与跨平台结构体布局风险
eBPF程序和用户态C++结构体必须二进制兼容：字段顺序、大小、对齐方式完全一致。x86_64 上 __u64 是8字节对齐，但若你在结构体里穿插 char 和 __u64，而没加 __attribute__((packed)) 或显式填充，Clang 编译的 eBPF 字节码和 GCC 编译的用户态代码很可能因 padding 差异导致字段错位。
- eBPF侧定义结构体时，强制加
#pragma pack(1)或__attribute__((packed)) - 用户态结构体用相同方式声明，且所有字段用
__u8/__u32/__u64（而非uint8_t），保持与 BTF 生成的一致 - 用
offsetof()和sizeof()在编译期断言字段偏移，例如：static_assert(offsetof(my_event_t, ts) == 8, "ts offset mismatch");
结构体不对齐是RingBuf数据解析失败最顽固的原因——现象是部分字段永远为0或极大值，调试时容易误判为eBPF逻辑错误。
