周报（1.20 - 1.31）

开发分支

• axvisor: https://github.com/Iscreamx/axvisor/tree/feature/ebpf
• axebpf: https://github.com/Iscreamx/axebpf

一、已完成工作

• axebpf 独立模块：集成 ksym、tracepoint、tp-lexer、kbpf-basic、rbpf 实现 eBPF 运行时，支持程序加载执行，Array/HashMap/LruHash/Queue 四种 Map 类型，6 个标准 helper 函数和 3 个 Hypervisor 专用 helper（获取 vm_id/vcpu_id/exit_reason）。效果：可在 Hypervisor 内核中动态加载 eBPF 字节码进行追踪，无需重新编译内核。

• Shell trace 命令：支持 trace list/enable/disable/stat/reset/load/unload/progs/latency/verbose 等命令。效果：可通过 shell 交互式启用追踪点，附加 eBPF 程序，查看统计数据和延迟直方图。

• Tracepoint 定义：定义了 25+ 个 VMM 追踪点，其中 VM 生命周期（vm_create/boot/shutdown）、系统初始化（vmm_init/config_load）、Shell（shell_command/init）等追踪点已完成插桩并正常工作。

• 预编译 eBPF 程序：基于 aya-ebpf 框架提供 2 个预编译程序，支持 ELF 解析和 Map 重定位，可通过 trace enable xxx --prog printk 附加程序。

• 上游贡献：向 Starry-OS/kbpf-basic 提交 PR 并已合并，修复了 printf-compat 和 VaList API 在 Rust nightly >= 2025-12 上的兼容性问题。使 kbpf-basic 可在最新 nightly 工具链（2025-12-12）上正常编译。

二、待完善

三、遇到的问题与解决方案

3.1 Rust nightly VaList API 变更

问题：kbpf-basic 依赖的 printf-compat 使用了 VaList 和 VaListImpl 类型，在 Rust nightly >= 2025-12 上编译失败，错误信息为 cannot find type VaListImpl in module core::ffi。

原因：Rust 重构了 core::ffi 模块，VaListImpl 被移除，VaList 的 API 也有变化。

解决方案：

1. Fork kbpf-basic 仓库
2. 更新 printf-compat 依赖到兼容新 API 的版本
3. 修改 VaList 相关代码适配新 API
4. 提交 PR 到上游并合并

3.2 rbpf 内存边界检查导致 Map 访问失败

问题：bpf_map_lookup_elem 返回静态 LOOKUP_BUFFER 指针后，eBPF 程序尝试解引用触发 out of bounds memory load 错误。

原因：rbpf VM 对所有内存访问进行边界检查，仅允许访问 mem（上下文）、stack（栈）和显式注册的 allowed_memory。

解决方案：

#![allow(unused)]
fn main() {
// Register LOOKUP_BUFFER as accessible memory before program execution
vm.register_allowed_memory(helpers::get_lookup_buffer_range());
}

3.3 ELF Map 重定位

问题：aya-ebpf 编译的程序包含 maps section 和 .reltracepoint 重定位表，直接加载会因为 Map FD 未修补导致运行时错误。

解决方案：实现完整的 ELF 解析流程：

1. 解析 maps section 提取 Map 定义（每个 28 字节）
2. 解析符号表获取 Map 名称
3. 调用 maps::create() 创建 Map 并获取 FD
4. 解析 .reltracepoint 重定位表
5. 修补 ld_imm64 指令中的 Map FD

四、工作量统计

五、下阶段计划

六、风险与阻塞项

七、个人日志

7.1 五个关键依赖仓库的作用

执行流程示意：

User Shell                     axebpf                      Dependencies
    │                             │                           │
    ├─ trace enable ─────────────►│                           │
    │                             ├─ TracepointManager ──────►│ tracepoint
    │                             │   .enable(name)           │
    ├─ trace enable --prog ──────►│                           │
    │                             ├─ parse_elf_with_maps() ──►│ (ELF parsing)
    │                             ├─ bpf_map_create() ───────►│ kbpf-basic
    │                             ├─ EbpfVmRaw::new() ───────►│ rbpf
    │                             ├─ register_helper() ──────►│ rbpf
    │                             │                           │
[Tracepoint fires]                │                           │
    │                             ├─ execute_with_context() ─►│ rbpf
    │                             │   (eBPF execution)        │
    │                             ├─ map_lookup/update ──────►│ kbpf-basic
    │                             │                           │
    ├─ trace stat ───────────────►│                           │
    │                             ├─ iter_entries() ─────────►│ kbpf-basic
    │                             ├─ lookup_symbol() ────────►│ ksym (optional)

7.2 实现代码过程的权衡

7.3 收获

技术收获：

1. eBPF 执行模型理解：深入理解了 eBPF 程序的加载→验证→执行→Map 交互流程，以及 helper 函数的调用约定（r1-r5 传参，r0 返回）。

2. ELF 解析实践：实现了最小化的 ELF64 解析器，支持 section 查找、符号表解析、重定位表处理。理解了 ld_imm64 指令的 Map FD 修补机制。

3. no_std 环境适配：在无标准库环境下集成多个依赖，处理了 alloc、spin lock、static-keys 等基础设施问题。

4. Rust nightly 兼容性：修复 kbpf-basic 的 VaList API 变更问题并贡献上游，理解了 Rust 不稳定特性的演进。

工程收获：

1. 模块化设计：axebpf 通过 feature flags 控制功能启用（symbols/tracepoint-support/runtime），便于裁剪和测试。

2. 抽象层设计：platform.rs 提供 mock/real 模式切换，map_ops.rs 实现 KernelAuxiliaryOps 适配层，解耦了依赖库与内核实现。

3. 渐进式实现：先用简化方案验证端到端流程（如 Vec 实现 Map、简化 printk），再逐步替换为生产级实现。

待深入方向：

• Kprobe 动态插桩机制（需要理解 aarch64 断点指令和异常处理）
• eBPF 验证器原理（控制流图分析、类型状态追踪）
• 零拷贝 Map 访问优化