Sublime Text 不是 eBPF IDE，而是轻量高效可定制的编辑器，需配合 Clang/LLVM、libbpf、bpftool 等工具链完成开发；推荐配置 C++ 插件、Clang 构建系统、clangd LSP、代码片段，并用于 map 分析、脚本协同与笔记记录。
Sublime Text 本身不是 eBPF 开发环境，它不编译、不加载、也不调试 eBPF 程序；但它可以作为轻量、高效、高度可定制的代码编辑器，配合外部工具链完成 Linux eBPF 程序开发全流程——尤其适合编写 BPF C 代码、BPF CO-RE 兼容逻辑、libbpf-based 用户态程序，以及快速查看和分析 eBPF map 数据、跟踪日志等。
eBPF 开发需要的核心工具链（Sublime 不替代它们）
在 Sublime 中写 eBPF，必须依赖以下真实构建与运行环境：
-
Clang + LLVM：用于将 eBPF C 源码（如
monitor.bpf.c）编译为 BPF 字节码（.o） - libbpf + bpftool：加载、验证、挂载 eBPF 程序，读写 maps，dump 程序信息
-
Kernel headers & vmlinux.h：编译时需访问内核数据结构（推荐用
bpftool btf dump file /sys/kernel/btf/vmlinux format c生成） -
Make/CMake 或自定义 build system：Sublime 可调用这些构建命令（通过
Tools → Build System配置）
在 Sublime 中高效编写 eBPF C 代码的关键配置
提升编码效率和准确性，建议做这几件事：
-
安装 C++ 语法高亮插件（如 EasyClangComplete 或原生 C++ package），支持
#include和 BPF 辅助函数（如bpf_trace_printk()）的符号识别 -
配置 Clang 构建系统：新建
sublime-build文件，指定 clang 路径、target（bpf）、include 路径（如-I./libbpf/src -I./vmlinux）、宏定义（-DBPF_PROG_SEC="classifier"） -
启用 clangd LSP 支持（通过 SublimeLSP 插件）：提供跳转定义、参数提示、错误实时标记——对理解复杂内核结构体（如
struct __sk_buff）非常有用 -
设置代码片段（snippets）：例如输入
bpftrace自动展开为bpf_trace_printk("func=%s, pid=%d\\n", __func__, bpf_get_current_pid_tgid() >> 32);
用 Sublime 辅助网络监控与性能分析工作流
实际做网络监控（如抓包统计、连接追踪）或性能分析（如函数延迟、调度延迟）时，Sublime 主要承担“观察+编辑+联动”角色：
-
实时查看 map 输出：用
bpftool map dump id XXX导出 JSON 或文本，粘贴到 Sublime 新标签页中，配合正则查找（Ctrl+R）快速定位异常端口、高频 IP 或延迟毛刺 -
对比多轮采样结果：把不同时间点的 map dump 保存为
maps_0s.json、maps_5s.json，用 Sublime 的 Diff View 插件（如SublimeMerge集成）直观看出连接数、重传次数、RTT 分布变化 - 编写用户态聚合脚本：用 Python/Go 写轻量解析器读取 perf event 或 ringbuf 数据，在 Sublime 中同步编辑脚本 + 对应的 BPF 程序逻辑，保持语义一致
-
记录分析笔记与复现步骤：直接在项目根目录下建
ANALYSIS.md，用 Sublime 的 Markdown Preview 实时渲染，嵌入命令、截图路径、关键字段说明
常见陷阱与规避建议
新手容易在 Sublime 环境中忽略底层约束，导致编译失败或行为异常：
-
别依赖 IDE 自动补全代替内核文档：eBPF 可用函数受 kernel version 和 verifier 严格限制（如
bpf_probe_read_kernel()在 5.14+ 才可用），务必查 libbpf probes 或man 7 bpf-helpers - 避免在 .bpf.c 中写复杂控制流：verifier 对循环、大栈帧、间接跳转敏感；Sublime 里高亮再漂亮，也得删掉冗余 if-nest 或提前 return
-
CO-RE 结构体访问要加
__builtin_preserve_access_index：Clang 不报错，但缺失后 runtime 会 crash；可在 Sublime 中设 snippet 或使用 SublimeLSP + clangd 提示缺失 -
不要用 Sublime 直接修改正在运行的 BPF 程序：热更新需卸载旧程序、重新加载新版本；建议写一键 reload 脚本（
make reload），Sublime 绑定快捷键触发
基本上就这些。Sublime 不是 eBPF 的 IDE，但它是很多内核开发者心里最顺手的“数字刻刀”——够轻、够快、够可控。把编译交给 Make，把加载交给 bpftool，把分析交给 Python，把注意力还给代码本身，反而更容易写出稳定、可观测、易维护的 eBPF 网络监控模块。
