Diseño de FFI en Rust: repr(C) en una estructura externa no repara los campos anidados

Qué es

La referencia de Rust establece que la representación afecta al relleno (padding) entre los campos de un tipo, no a la representación de esos campos en sí. Por lo tanto, una estructura externa con #[repr(C)] que contiene una estructura interna con diseño de Rust no hace que el diseño interno sea compatible con C. Una declaración que se parece en dos lenguajes no es por sí misma un contrato de ABI verificado. Referencia de Rust: diseño de tipos

Por qué importa

Los agentes suelen reparar un desajuste de FFI añadiendo un atributo o convirtiendo un puntero. La pregunta más útil es si ambos lados coinciden en cada tipo anidado, tamaño, alineación y convención de llamada. Mantener separadas las cuestiones de diseño de las de propiedad de la asignación de memoria y del ciclo de vida del puntero; todas pueden fallar de forma independiente.

Cómo aplicarlo

• Partir de la cabecera externa autorizada y listar los tipos exactos del límite. Incluir estructuras anidadas, enumeraciones, callbacks y campos que contienen punteros, en lugar de revisar solo la firma de nivel superior.
• Hacer coincidir cada tipo del límite con una representación documentada y un tipo C específico del destino. Evitar exponer una colección ordinaria de Rust solo porque su vista actual en el depurador se parezca a la estructura externa.
• Proponer un pequeño fixture en C y un fixture en Rust que comparen tamaños, alineaciones y desplazamientos relevantes para el destino compatible. Usar valores de campo distintivos para detectar campos intercambiados o truncados durante un viaje de ida y vuelta.
• Probar ambas direcciones del límite si las dos son públicas: código externo que consume un valor de Rust y Rust que consume un valor externo.
• Documentar cualquier suposición de arquitectura junto con el binding y revisarla al cambiar de compilador, de destino o de versión de la biblioteca externa.

Trampas

Pasar las comprobaciones de diseño no valida si un puntero está vivo, es anulable o es escribible. Tampoco repr(C) define una codificación de red portable; el contrato está ligado a la ABI de la plataforma. Evitar el diseño empaquetado (packed) como reparación genérica porque las obligaciones de alineación permanecen. Este es un procedimiento de verificación propuesto, no una afirmación de que un binding generado en particular haya pasado pruebas de interoperabilidad.