gobee

Schreiben Sie Ihre BPF-Programme in Go, nicht in C. gobee transpiliert eine strenge Teilmenge von Go in BPF C, generiert typisierte Go-Bindings für die Userspace-Seite und prüft das Laden gegen den laufenden Kernel.

Das Go-Ökosystem hat solide Userspace-Tools für BPF. Die Kernelseite endete immer mit „Jetzt schreibe dein Programm in C.“ Aya brachte eBPF zu Rust, indem es ein neues BPF-Backend in rustc schrieb. gobee erreicht das auf einem anderen Weg: durch Transpilieren nach C und Wiederverwendung von clangs ausgereiftem Backend.

Ein Go-File rein, ein BPF-Programm raus

Ein Tracepoint, der jedes execve per Ringbuf an den Userspace streamt:

//go:build ignore

package main

import "github.com/boratanrikulu/gobee/bpf"

//bpf:license GPL

type Event struct {
    Pid  uint32
    Comm [16]byte
}

var Events = bpf.RingBuf[Event]{
    MaxEntries: 4096,
}

//bpf:section tracepoint/syscalls/sys_enter_execve
func OnExec(ctx *bpf.ExecveEnterCtx) bpf.TpReturn {
    e, ok := Events.Reserve()
    if !ok {
        return bpf.TpOk
    }
    e.Pid = bpf.GetCurrentPid()
    bpf.GetTaskComm(&e.Comm)
    Events.Submit(e)
    return bpf.TpOk
}

func main() {}

// Code generated by gobee. DO NOT EDIT.

#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_core_read.h>

char _license[] SEC("license") = "GPL";

struct Event {
    __u32 Pid;
    __u8 Comm[16];
};

struct {
    __uint(type, BPF_MAP_TYPE_RINGBUF);
    __uint(max_entries, 4096);
} Events SEC(".maps");

SEC("tracepoint/syscalls/sys_enter_execve")
int OnExec(struct trace_event_raw_sys_enter *ctx) {
    struct Event *e = bpf_ringbuf_reserve(
        &Events, sizeof(struct Event), 0);
    if (!e) {
        return 0;
    }
    e->Pid = (__u32)(
        bpf_get_current_pid_tgid() >> 32);
    bpf_get_current_comm(&e->Comm, 16);
    bpf_ringbuf_submit(e, 0);
    return 0;
}

gobee translate --bindings-dir ./bpf ./bpf/src erzeugt beide Dateien, plus eine Sourcemap (events.bpf.c.map), damit Verifier-Fehler auf Go-Zeilen abgebildet werden, und eine typisierte Bindings-Datei (bpf/events_bindings.go), sodass der Userspace-Treiber objs.Events, objs.AttachOnExec() schreibt und Ringbuf-Nutzlasten direkt in bpf.Event decodiert (dieselbe Struktur wie oben, in Go neu veröffentlicht) anstatt string-typisierte coll.Programs["..."]-Lookups zu verwenden.

Das C ist absichtlich lesbar. Wenn gobee etwas Seltsames ausgibt, können Sie es sehen. Für Tracepoints + Kprobes + XDP in einem Binärprogramm siehe example/sysmon/.

Wie es sich vergleicht

Wenn Sie bereits in einem C-/libbpf-Workflow arbeiten, versucht gobee nicht, ihn vollständig zu ersetzen. Es ist für Fälle gedacht, in denen Sie die Kernelseite, die Userspace-Seite und die Build-Pipeline alle in einem Go-Modul haben möchten.

Was derzeit unterstützt wird

Siehe docs/status.md für die vollständige Matrix (Go-Teilmenge, Anweisungen, Ausdrücke, jeder Helper, jeder Map-Typ, jede Direktive). Kurzübersicht:

Was gobee tut

• Transpiliert eine Go-Teilmenge nach BPF C (und führt zuerst go/types über Ihre Eingabe aus, sodass Missbrauch bei file:line:col aufgedeckt wird).
• Generiert eine typisierte <Stem>_bindings.go neben der .bpf.c: bpf.LoadCounter(spec), objs.PerIface.Lookup(...), objs.AttachAll(ifindex), sowie Ihre kernelseitigen Strukturtypen und Konstanten, die in Go neu veröffentlicht werden.
• Annotiert automatisch *ebpf.VerifierError von LoadAndAssign mit Go-Quellpositionen, kein manuelles gobee diagnose-Pipe erforderlich.
• Führt bpfvet innerhalb von Load<Stem> aus, sodass alte Kernel schnell mit bpf program needs kernel >= 5.8, host is 5.4 scheitern.
• Bietet ~200 typisierte Go-Stubs für den libbpf v1.5.0 Helper-Satz, plus benutzerdefinierte Hilfsfunktionen, die als static __always_inline ausgegeben werden.

Was gobee nicht tun wird

• Ersetzen von clang. clangs BPF-Backend gibt uns CO-RE, BTF und verifierfreundliche Codegenerierung kostenlos. Das nachzubauen kostet Jahre und bringt nichts.
• Ersetzen von cilium/ebpf. Die generierten Bindings sitzen darauf.
• BPF verstecken. Die Go-Teilmenge bildet 1:1 auf BPF C-Idiome ab. Wenn Sie BPF kennen, ist gobee dünner Zucker. Wenn nicht, bleibt das Handbuch Pflichtlektüre.
• Clang für Sie ausführen. Kompilieren, Einbetten und Laden bleiben in Ihrer Hand. Gleiches Muster wie bpf2go.

Warum transpilieren und nicht direkt BPF generieren