gobee

Пишите свои BPF-программы на Go, а не на C. gobee транслирует строгое подмножество Go в BPF C, генерирует типизированные Go-привязки для пользовательской стороны и проверяет загрузку на соответствие версии работающего ядра.

Экосистема Go имеет надежные пользовательские инструменты для BPF. Но сторона ядра всегда заканчивалась фразой «теперь напишите свою программу на C». Aya привнесла eBPF в Rust, написав новый бэкенд BPF в rustc. gobee добивается этого иначе: транслируя в C и используя зрелый бэкенд clang.

На входе Go-файл, на выходе BPF-программа

Точка трассировки, которая отправляет каждый execve в пользовательское пространство через ringbuf:

Ваш вход (Go)

Что выдает gobee (BPF C)

//go:build ignore

package main

import "github.com/boratanrikulu/gobee/bpf"

//bpf:license GPL

type Event struct {
    Pid  uint32
    Comm [16]byte
}

var Events = bpf.RingBuf[Event]{
    MaxEntries: 4096,
}

//bpf:section tracepoint/syscalls/sys_enter_execve
func OnExec(ctx *bpf.ExecveEnterCtx) bpf.TpReturn {
    e, ok := Events.Reserve()
    if !ok {
        return bpf.TpOk
    }
    e.Pid = bpf.GetCurrentPid()
    bpf.GetTaskComm(&e.Comm)
    Events.Submit(e)
    return bpf.TpOk
}

func main() {}

// Code generated by gobee. DO NOT EDIT.

#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_core_read.h>

char _license[] SEC("license") = "GPL";

struct Event {
    __u32 Pid;
    __u8 Comm[16];
};

struct {
    __uint(type, BPF_MAP_TYPE_RINGBUF);
    __uint(max_entries, 4096);
} Events SEC(".maps");

SEC("tracepoint/syscalls/sys_enter_execve")
int OnExec(struct trace_event_raw_sys_enter *ctx) {
    struct Event *e = bpf_ringbuf_reserve(
        &Events, sizeof(struct Event), 0);
    if (!e) {
        return 0;
    }
    e->Pid = (__u32)(
        bpf_get_current_pid_tgid() >> 32);
    bpf_get_current_comm(&e->Comm, 16);
    bpf_ringbuf_submit(e, 0);
    return 0;
}

Поверхность

Покрытие

Типы программ (8)

XDP, tracepoint, kprobe / kretprobe, uprobe / uretprobe, sock_ops, TC, cgroup_skb, LSM

Типы карт (19)

array, hash, lru_hash, варианты на CPU, bloom_filter, lpm_trie, ringbuf, perf_event_array, prog_array, queue, stack, sk/task/inode storage, devmap/cpumap/xskmap

Хелперы BPF

~200 типизированных Go-заглушек, автоматически сгенерированных из заголовков libbpf v1.5.0. Те, что используются в example/helloworld/ и example/sysmon/, протестированы в CI на реальном ядре; остальные непроверены. Создайте issue, если заглушка не соответствует сигнатуре ядра

CO-RE

✅ автоопределение. BPF_CORE_READ для полей внутренних структур ядра (task_struct, sock, inode); прямой ctx->field для UAPI-структур контекста BPF (xdp_md, __sk_buff, bpf_sock_ops). Протестировано на Linux 6.x (Ubuntu 24.04 CI); старые ядра пока не в матрице CI

BTF-готовый вывод

✅ генерируемый C включает vmlinux.h и использует BPF_CORE_READ для чтения полей внутри ядра, так что BTF, создаваемый clang из clang -g, содержит правильные релокации. Сам clang остаётся вашей ответственностью (примеры Makefile показывают канонический вызов)

Пользовательские хелперы

✅ функции Go верхнего уровня без //bpf:section генерируются как static __always_inline C-функции

Типизированные Go-привязки

✅ Load<Stem>, Close, per-program Attach<Name>, AttachAll, а также типы структур и константы стороны ядра, переизданные в Go

Шлюзование по версии ядра

✅ bpfvet выполняется во время загрузки. Быстро завершается с ошибкой вместо непонятного

	gobee	C + clang + bpf2go	Aya (Rust)	bpftrace	BCC
Язык для стороны ядра	Подмножество Go	C	Rust	DSL	C
Интеграция с пользовательским пространством	типизированные Go-привязки + cilium/ebpf	bpf2go	aya-runtime	нет	python
CO-RE	✅ через clang	✅	✅ через LLVM	✅	✅
Покрытие хелперов	200 типизированных Go-обёрток	полное (пишите на C)	полное	ограниченное	полное (пишите на C)
Ошибка верификатора → исходник	✅ Go файл:строка:столбец	❌ сырой C	✅ Rust файл:строка	❌	частично
Шлюзование по версии ядра при загрузке	✅ через bpfvet	вручную	вручную	н/п	во время выполнения
Зависимости инструментов	Go + clang	clang + bpf2go	rustc + LLVM	bpftrace	python + bcc
Создаваемый артефакт	`.bpf.o` + Go-бинарник	`.bpf.o` + Go-бинарник	`.bpf.o` + Rust-бинарник	JIT	JIT

gobee

Популярное

Сравнение

Что поддерживается сегодня

Что делает gobee

Что gobee не будет делать

Зачем транслировать, а не генерировать BPF напрямую

Быстрый старт

Структура проекта (типичная)

Примеры

CI

Документация

Инструментарий

Вдохновение

Лицензия