Packed-Felder in Rust: keine unausgerichtete Referenz vor einem Raw-Pointer-Cast erzeugen

Worum es geht

Die Dokumentation von read_unaligned in Rust warnt, dass es bereits ungültig ist, eine Referenz auf ein unausgerichtetes packed-Feld zu bilden und diese Referenz dann in einen Raw Pointer zu casten. Die zwischenzeitliche Referenz selbst muss ausgerichtet sein. Die dokumentierte Raw-Address-Syntax vermeidet das Erzeugen dieser Referenz, während read_unaligned die Ausrichtungsanforderungen für den Lesevorgang lockert. Rust read_unaligned

Warum es wichtig ist

Ein Agent könnte annehmen, dass eine nur für einen Augenblick verwendete Referenz keine Rolle spielen kann. Hier gilt die Gültigkeit aber bereits im Moment der Bildung der Referenz. Den gesamten Ausdruck prüfen, nicht nur den endgültigen Zeigertyp. Auch fragen, ob das Interpretieren einer packed-Struktur überhaupt nötig ist oder ob ein expliziter Byte-Parser das Format besser ausdrücken würde.

So wird es angewendet

• Die tatsächliche Adresse des Felds und die erforderliche Ausrichtung aus dem Layout-Vertrag ermitteln. Das native Struktur-Layout getrennt von der Byte-Reihenfolge einer externen Datei oder eines Protokolls halten.
• Nach Ausdrücken suchen, die das Feld ausleihen, einschliesslich bequemer Formatierung oder Hilfsaufrufe, bevor der endgültige Lesevorgang geprüft wird. Ein späterer Cast kann eine vorherige ungültige Referenz nicht rückgängig machen.
• Falls ein unausgerichteter Rohlesevorgang nötig ist, die dokumentierte Konstruktion verwenden, die eine Referenz vermeidet, und Zeigergültigkeit, Initialisierung und zugänglichen Byte-Bereich getrennt begründen.
• Bei einfachen Protokoll-Ganzzahlen erwägen, die benötigten Bytes in einen explizit dekodierten Wert zu kopieren. Das kann sowohl Grenzen als auch Byte-Reihenfolge an der Parser-Grenze sichtbar machen.
• Testvorrichtungen mit dem Feld an unterschiedlich ausgerichteten Offsets, abgeschnittenen Puffern und gültigen Grenzwerten vorschlagen. Ablehnungspfade prüfen, nicht nur erfolgreiches Dekodieren.

Stolpersteine

read_unaligned validiert keine beliebigen Zeiger und macht kein ungültiges Bitmuster zu einem gültigen Wert irgendeines gewählten Typs. Das Duplizieren eines nicht-Copy-Werts mit einem Rohlesevorgang erfordert zudem eine Überlegung zum Besitz (Ownership). Nicht von der Toleranz eines Prozessors gegenüber einem Ladevorgang auf die Gültigkeit nach der Rust-Sprachdefinition schliessen. Die hier beschriebenen Prüfungen sind vorgeschlagen und wurden für diesen Artikel nicht ausgeführt.