不能，ebpf 无法直接观测 python 函数调用；它运行在内核态，无法访问用户态 cpython 的栈帧、对象或字节码，仅能通过 uprobe 拦截 pyeval_evalframedefault 等内部符号间接获取执行位置，且需确保符号未被 strip、调试信息完整、及时 attach 并处理版本偏移。
Python eBPF 能不能直接观测 Python 函数调用？
不能，至少不是开箱即用。eBPF 运行在内核态，它看不到用户态 Python 解释器的函数栈帧、对象引用或字节码——syscalls 和 tracepoints 是它天然能触达的边界，而 PyEval_EvalFrameEx 这类 CPython 内部符号默认不暴露、无稳定 ABI、且随版本剧烈变动。
常见错误现象：bpf_trace_printk 打印出乱码地址，或 uprobe 加载失败报 ENOENT（符号未找到）或 EPERM（权限/符号表缺失）。
- 必须先用
readelf -s /path/to/python | grep PyEval_EvalFrameEx确认符号存在且未被 strip - CPython 编译时需带
--without-pymalloc或确保调试信息完整（.debug_*段可用） -
uprobe依赖/proc/PID/maps中的映射地址，Python 进程启动后需立刻 attach，延迟会导致地址偏移错乱
用 bcc + uprobe 捕获 Python 函数入口的最小可行路径
这是目前最实用的起点：绕过字节码层面，聚焦于 CPython 解释器执行帧的进入点，再结合寄存器/栈提取参数。关键不是“看到 Python 函数名”，而是“知道哪个 .py 文件的哪一行正在被执行”。
使用场景：排查慢函数、高频调用热点、非预期的模块加载（如意外触发的 import）。
立即学习“Python免费学习笔记（深入）”；
- 目标符号优先选
PyEval_EvalFrameDefault（3.7+），比旧版PyEval_EvalFrameEx更稳定 - 用
bcc的UProbe时，fn_name必须是绝对路径下的符号，例如/usr/bin/python3.9:PyEval_EvalFrameDefault - 从
ctx->di（x86_64）读取当前PyFrameObject*，再用bpf_probe_read_kernel逐层解引用获取f_code->co_filename和f_lineno - 注意：
PyFrameObject结构体字段在不同 Python 版本中偏移不同，硬编码 offset 会崩；应改用bcc自带的ctypes符号解析（如prog["struct PyFrameObject"].fields）
为什么不用 eBPF 直接解析 Python 字节码？
因为没必要，也极难做对。字节码解释是纯用户态循环，eBPF 无法安全访问解释器的局部变量数组、栈指针、或指令计数器（f_lasti）——这些值在每次 uprobe 触发时可能已失效，且没有内存屏障保证可见性。
性能影响明显：每毫秒触发一次 uprobe 就可能让 Python 进程吞吐下降 20%+；若再加字节码 decode 逻辑（需 bpf helper bpf_probe_read_kernel_str 多次调用），开销翻倍。
- 真正需要字节码粒度时，应该用
sys.settrace或sys.addaudithook，它们在 Python 层可控、可过滤、无内核上下文切换成本 - eBPF 的优势在于跨进程、低侵入、可观测系统调用与内核事件（如文件打开、网络连接、页错误），和 Python 协同时应各司其职
- 试图在 eBPF 里做
dis.dis等价操作，等于在内核里重写一个字节码解析器——边界模糊，维护成本爆炸
Python 进程重启后 eBPF 探针自动重连的坑
Python 应用常以 systemd、supervisord 或容器方式启停，eBPF 探针不会自动跟随。手动 reload 脚本容易漏掉、时序错乱，或因新进程 PID 已被复用导致 attach 失败。
兼容性影响：不同发行版的 systemd 对 ExecStartPre 的执行时机、命名空间支持不一；容器中 /proc 可能只挂载了 host 的部分视图。
- 别依赖
pidof python，改用pgrep -f "myapp.py"并加-u $USER限定所有者 - attach 前先检查
/proc/PID/exe是否指向目标二进制，避免 attach 到残留的僵尸进程 - 用
inotifywait -m /proc -e create | grep '^[0-9]\+$'监听新 PID 目录创建，但要注意inotify在容器中可能受限 - 最稳方案：把探针逻辑封装进 Python 应用自身启动流程（如
if os.getenv("ENABLE_EBPF_TRACE"):），用libbpf-python或bcc在主进程 fork 后立即加载
真实复杂点在于 Python 的多进程模型——fork 后子进程是否继承探针？eBPF map 是共享还是隔离？这些细节不提前想清楚，线上跑几天就发现一半请求没采样到。
