Campos packed en Rust: evitar crear una referencia no alineada antes de convertirla a un puntero crudo

Qué es

La documentación de read_unaligned en Rust advierte de que tomar una referencia a un campo packed no alineado y luego convertir esa referencia a un puntero crudo ya es inválido. La propia referencia intermedia debe estar alineada. La sintaxis de dirección cruda documentada evita crear esa referencia, mientras que read_unaligned relaja los requisitos de alineación para la lectura. Rust read_unaligned

Por qué importa

Un agente puede razonar que una referencia usada solo por un instante no puede importar. Aquí la validez se aplica en el momento en que se forma la referencia. Conviene revisar la expresión completa, no solo el tipo final del puntero. También cabe preguntarse si es necesario interpretar una estructura packed o si un parser de bytes explícito expresaría mejor el formato.

Cómo aplicarlo

• Identificar la dirección real del campo y la alineación requerida a partir del contrato de layout. Mantener separado el layout nativo de la estructura del orden de bytes de cualquier archivo o protocolo externo.
• Buscar expresiones que tomen prestado el campo, incluidos formateos de conveniencia o llamadas auxiliares, antes de auditar la operación de lectura final. Una conversión posterior no puede deshacer una referencia inválida anterior.
• Si es necesaria una lectura cruda no alineada, usar la construcción documentada que evita una referencia, y justificar por separado la validez del puntero, la inicialización y el rango de bytes accesible.
• Para enteros simples de protocolo, considerar copiar los bytes necesarios en un valor decodificado de forma explícita. Esto puede hacer visibles tanto los límites como el orden de bytes en el propio límite del parser.
• Proponer fixtures con el campo en offsets con distinta alineación, buffers truncados y valores límite válidos. Comprobar las rutas de rechazo, no solo la decodificación exitosa.

Trampas

read_unaligned no valida punteros arbitrarios ni convierte un patrón de bits inválido en un valor válido de ningún tipo elegido. Duplicar un valor que no es Copy mediante una lectura cruda también exige razonar sobre la propiedad (ownership). No conviene generalizar a partir de que un procesador tolere una carga hacia la validez del lenguaje Rust. Las comprobaciones descritas aquí son propuestas y no se han ejecutado para este artículo.