eBPF系列--BCC中提供的BPF maps高级抽象如何映射到内核的BPF maps？

随着云原生和可观测性技术的快速发展，eBPF (extended Berkeley Packet Filter) 已经成为Linux内核最重要的创新技术之一。而在整个eBPF生态系统中，BPF maps无疑是最核心的组件，它们不仅是内核态与用户态之间的数据桥梁，更是构建复杂追踪、监控和网络处理程序的基础设施。

本文中将为大家深入解析BPF maps的设计原理、实现机制以及实际应用，希望能够帮助大家理解这一关键技术。

一、什么是BPF maps？

这是Linux内核文档中关于BPF maps的介绍（https://docs.kernel.org/bpf/maps.html）：

BPF ‘maps’（映射）提供了不同类型的通用存储，用于在内核和用户空间之间共享数据。有多种存储类型可用，包括哈希表（hash）、数组（array）、布隆过滤器（bloom filter）和基数树（radix-tree）。其中一些 map 类型的存在是为了支持特定的 BPF helper 函数，这些函数会根据 map 的内容执行相应的操作。在 BPF 程序中，maps 通过 BPF helper 函数进行访问，这些函数在 bpf-helpers(7) 的手册页中有详细文档说明。

核心特性