为什么 eBPF 是可观测性的未来：一份基于 Go 和 C 的实用指南

- eBPF（扩展的伯克利包过滤器）是一项 Linux 内核技术，允许开发者在不修改内核源代码或不加载危险内核模块的情况下，安全地运行沙箱化程序。它最初用于网络包过滤，现已扩展为性能监控、安全检测和可观测性的通用基础设施。 - 可观测性（Observability）指通过分析系统的外部输出（如日志、指标、追踪）来理解其内部状态。与传统监控不同，它更强调在未知问题出现时能够主动诊断。 - 该文核心论点：AI 生成的服务（例如基于 LLM 的应用）具有高度动态性和黑盒特性，传统的日志和埋点方法难以全面观测。eBPF 无需修改应用代码即可从内核层面捕获系统调用、网络事件和性能数据，因此特别适合这类场景。 - 文中附带一个手把手的 Go + C 代码示例，演示如何编写一个简单的 eBPF 程序来跟踪进程事件，展示 Go 生态（借助 ebpf-go 库）如何降低 eBPF 开发门槛。 - 作者 Cheikh Seck 是一名软件工程师和云原生技术布道者，在 Medium 上持续撰写关于 eBPF、Kubernetes 和可观测性的技术文章。