eBPF 与传统内核模块（Kernel Module）有什么区别？

1. 加载与稳定性

传统内核模块需要针对特定内核版本编译，加载后直接运行于内核空间，一旦存在缺陷可能引发内核崩溃（panic）。eBPF 程序则通过验证器保障安全，无需重新编译内核或加载内核模块，即可在运行时动态插入与卸载。

2. 安全隔离

内核模块缺乏对执行行为的静态约束，而 eBPF 程序受验证器、Helper 函数白名单、内存只读加固等多重机制保护，运行在受限的沙箱环境中，安全性更有保障。

3. 开发门槛与可移植性

内核模块开发需深入掌握内核内部接口，且跨版本兼容性差。eBPF 借助 CO-RE 与 BTF 可实现一次编译、跨内核版本运行，配合 libbpf、bpftrace 等工具，开发门槛与运维成本显著降低。