bpftrace 报 failed to attach to tracepoint 错误的根本原因只有两个：用户无 cap_sys_admin 权限（sudo 不一定足够），或内核未启用 CONFIG_TRACEPOINTS=y、CONFIG_BPF_SYSCALL=y、CONFIG_BPF_JIT=y（或 CONFIG_BPF_INTERPRETER=y）三者之一。
为什么 bpftrace 报 failed to attach to tracepoint
这个错误不是 bpftrace 本身的问题，而是内核拒绝了 tracepoint 的 attach 请求。根本原因通常只有两个：当前用户没有足够权限，或者内核编译时没开启对应配置项。
普通用户默认无法 attach 到 tracepoint（哪怕只是读取），因为这属于内核调试接口，需要 cap_sys_admin 或 root 权限；而即使你用了 sudo，如果内核没打开关键选项，依然会失败——此时错误信息完全一样，容易误判。
必须检查的内核 CONFIG 选项
bpftrace 依赖 tracepoint 的 BPF 程序挂载能力，以下三个内核配置项缺一不可：
-
CONFIG_TRACEPOINTS=y—— tracepoint 基础框架，几乎所有发行版都已启用 -
CONFIG_BPF_SYSCALL=y—— BPF 系统调用入口，bpftrace 的底层支撑 -
CONFIG_BPF_JIT=y（推荐）或CONFIG_BPF_INTERPRETER=y—— JIT 编译器或解释器，决定 BPF 程序能否执行
最容易被忽略的是 CONFIG_BPF_JIT：某些嵌入式或最小化内核（如部分 Alpine Linux、Debian netinst 镜像）可能只开了 CONFIG_BPF_SYSCALL，但没开 JIT 或 interpreter，导致 attach 时静默失败并报错 failed to attach to tracepoint。
验证方式：
zcat /proc/config.gz | grep -E "(TRACEPOINTS|BPF_SYSCALL|BPF_JIT|BPF_INTERPRETER)"
或查看 /boot/config-$(uname -r)。
权限问题：sudo 不一定够，cap_sys_admin 才是关键
即使加了 sudo，如果系统启用了严格的安全模块（如某些 SELinux 策略、或 systemd 的 RestrictSUIDSGID=yes），仍可能丢掉 cap_sys_admin。常见现象：
- 在容器里运行 bpftrace（未加
--privileged或--cap-add=SYS_ADMIN） - 使用
sudo -u someuser切换用户后执行，cap 被丢弃 - systemd service 中未显式设置
CapabilityBoundingSet=CAP_SYS_ADMIN
快速验证是否是权限问题：
sudo capsh --print | grep sys_admin
。如果没有输出，说明当前 shell 没有该 capability。
