CString en un límite de FFI: distinguir un puntero prestado de la transferencia de propiedad

Qué es

CString representa una cadena de propiedad propia, compatible con C, terminada en NUL y sin bytes NUL interiores. Su documentación distingue entre tomar prestado un puntero y consumir el CString convirtiéndolo en un puntero en bruto. Reconstruir la propiedad con from_raw está restringido a punteros producidos por la ruta into_raw correspondiente, con requisitos adicionales sobre la longitud de la cadena. Rust CString

Por qué importa

Un agente puede escribir una expresión compacta que obtiene un puntero a partir de un valor temporal y pierde al propietario demasiado pronto. Otro error consiste en tratar cada puntero char devuelto por C como una cadena de propiedad de Rust. Conviene empezar clasificando la función externa: préstamo inmediato, préstamo retenido o transferencia de propiedad.

Cómo aplicarlo

• Leer las reglas de retención y mutación de la API externa. Registrar si el puntero se usa solo durante la llamada, se retiene después, se modifica, o finalmente lo libera la parte externa.
• Para una llamada por préstamo, vincular el CString a un propietario cuyo tiempo de vida cubra cada acceso externo. Manejar explícitamente el fallo de construcción por NUL interior, en lugar de truncar la entrada en silencio.
• Si la parte externa retiene el puntero, diseñar un propietario u objeto de registro que permanezca vivo hasta que se confirme la liberación. Una variable local ordinaria resulta insuficiente cuando los callbacks pueden sobrevivir a la llamada.
• Usar into_raw y from_raw solo cuando el ciclo completo de la propiedad está bajo el contrato documentado. Mantener una asignación externa no relacionada en su propia ruta de liberación externa.
• Proponer fixtures de frontera para cadenas vacías, NUL interior, bytes no ASCII, acceso retenido y limpieza repetida. Validar tanto el contenido como el comportamiento de la propiedad.

Trampas

La terminación en NUL no dice nada por sí misma sobre la codificación de texto que espera la biblioteca externa. Un puntero const no es un permiso para que la parte externa mute la asignación. Conviene evitar mostrar una transferencia de propiedad sin indicar también quién recupera o libera finalmente el recurso. Estas comprobaciones propuestas no afirman ninguna ejecución de FFI ni ninguna prueba de seguridad de memoria.