python 无法直接运行 ebpf 程序，仅通过系统调用委托内核加载校验；生产环境须用 libbpf+co-re 替代 bcc，严格管控权限、selinux/seccomp 策略及 fd/buffer 手动释放。
eBPF 程序在 Python 生产环境里根本不能直接运行
Python 进程本身不加载、不验证、也不执行 eBPF 字节码。所谓“Python 用 eBPF”，实际是 Python 调用 bpf() 系统调用（通过 libbpf 或 bcc 封装），由内核完成校验和 JIT 编译。安全合规评估的起点，就是厘清这个责任边界——Python 只是控制面，eBPF 的执行权、内存模型、权限检查全在内核。
常见错误现象：PermissionError: Operation not permitted 不是因为 Python 权限低，而是当前进程没被授予 CAP_SYS_ADMIN 或未启用 unprivileged_bpf_disabled=0；更隐蔽的是，某些云厂商或加固系统会 patch 内核禁用部分 helper 函数（如 bpf_probe_read_user），导致程序在本地能跑，上线就失败。
- 必须确认目标环境内核版本 ≥ 5.8（关键安全机制如
BPF_PROG_TYPE_TRACING的 verifier 改进） - 检查
/proc/sys/kernel/unprivileged_bpf_disabled值是否为0（生产环境通常为1） - 避免依赖
bcc动态编译：它会在运行时调用 clang，违反多数合规策略中“禁止运行时代码生成”的条款
用 libbpf + CO-RE 替代 bcc 是合规刚需
bcc 方便但危险：它把 Python 当作 clang wrapper，把 C 源码塞进字符串里拼接编译，既绕过静态代码扫描，又让二进制产物不可审计。而 libbpf 要求提前编译好 .o 文件，配合 bpftool gen skeleton 生成确定性 Python 绑定，整个过程可纳入 CI/CD 流水线做签名与哈希比对。
使用场景：金融或政务类生产环境要求“所有可执行逻辑必须有源码、构建环境、产物哈希三者绑定”。这时 bcc 直接出局，libbpf 配合 clang -target bpf 和 llvm-strip 才满足基线。
立即学习“Python免费学习笔记（深入）”；
- CO-RE（Compile Once – Run Everywhere）不是锦上添花，是规避内核结构体偏移硬编码的关键——否则每次内核小版本升级都可能触发 verifier 拒绝
-
libbpf加载失败时错误信息极简，如LIBBPF_ERRNO__BADINSN，需配合bpftool prog dump jited查反汇编，别指望 Python 层报错能定位到 C 源码行 - Python 中调用
libbpf通常走 ctypes 或 pylibbpf，务必锁定 so 文件路径，禁用LD_LIBRARY_PATH动态加载，防止被 LD_PRELOAD 劫持
seccomp、SELinux 与 eBPF 的三重冲突点
eBPF 程序本身受 seccomp 过滤，但 Python 主进程的 seccomp profile 若禁止 bpf 系统调用，哪怕内核支持也直接失败。更麻烦的是 SELinux：默认策略下，unconfined_t 域无法调用 bpf，必须显式添加 allow unconfined_t self:process { bpf }; 并重载策略。
性能影响常被忽略：开启 SELinux 后，每次 bpf(BPF_PROG_LOAD) 都触发 AVC 日志，高频加载（如热更新探针）会导致 journald 塞满、磁盘 IO 暴涨。这不是 Python 问题，是策略粒度太粗。
- 用
ausearch -m avc -ts recent | audit2why快速确认是否 SELinux 拦截，而非反复改 Python 权限 - seccomp 配置中必须显式放行
sys_bpf（号为 435 on x86_64），仅放开cap_sys_admin不够 - 某些国产 OS 的 SELinux 策略把
bpf归入高危操作，默认拒绝且不记录 AVC——此时需查dmesg | grep -i "avc.*denied"看内核日志
Python 层的资源泄漏比想象中更致命
eBPF 程序卸载不等于资源释放。Python 的 GC 不知道 libbpf 分配的 ring buffer 内存、perf event fd、map fd，若只删 Python 对象而不显式调用 bpf_object__close()，fd 泄漏会迅速耗尽进程 limit，表现为 OSError: Too many open files，但 traceback 里完全看不到 eBPF 相关痕迹。
容易踩的坑：用 atexit.register() 清理？不行——Python 异常退出时 atexit 不触发；用 try/finally？得确保每个分支都覆盖，包括信号中断；最稳的是封装成 context manager，但要注意 __exit__ 里不能抛异常，否则掩盖原始错误。
- 务必对每个
bpf_object__open()配对bpf_object__close()，别信“进程退出内核自动回收”——生产环境长周期服务扛不住 fd 积压 - perf buffer 或 ring buffer 的
consume()必须主动调用，否则内核侧缓冲区填满后新事件静默丢弃，现象是“探针看似运行，但收不到数据” - map 的 key/value 大小必须与 Python 绑定层严格一致，比如 C 里定义
__u32 pid，Python 用c_uint16读就会错位，这种 bug 在测试环境难复现，上线后数据全乱
真正卡住人的，往往不是写不出 eBPF 程序，而是 Python 进程生命周期管理、内核策略适配、以及那几个 fd 和 buffer 的手动清理时机——它们不会报错，只会慢慢让服务失联。
