Propiedad de recursos en Rust FFI: empareja el constructor foráneo con su destructor real

Qué es

El Rustonomicon explica que las bibliotecas foráneas pueden transferir la propiedad de un recurso a quien las llama, y que los wrappers deben usar destructores para liberar esos recursos. También advierte de que los callbacks asíncronos deben detenerse antes de que se destruya el objeto de Rust al que apuntan. Un puntero sin procesar (raw pointer) por sí solo no codifica el contrato completo del ciclo de vida. Rustonomicon: FFI

Por qué importa

Un agente puede interpretar que una llamada foránea exitosa demuestra que su wrapper es seguro. Sin embargo, los caminos difíciles suelen aparecer más tarde: un fallo de inicialización, un callback que compite con el cierre o dos objetos que creen ser dueños del mismo handle. El método propuesto consiste en escribir el ciclo de vida antes de diseñar métodos cómodos.

Cómo aplicarlo

• Para cada función foránea, anota si toma el recurso prestado, transfiere la propiedad o la devuelve. Identifica la función de liberación exacta que indica la documentación y si las llamadas tienen requisitos de afinidad de hilo.
• Crea un único propietario para cada handle adquirido. Mantén el acceso prestado claramente separado y evita añadir comportamiento de clonación hasta que la semántica de propiedad de la biblioteca foránea lo justifique.
• Describe la inicialización parcial como una secuencia de recursos adquiridos. Para cada posible fallo, especifica qué recursos ya existen y qué propietario debe liberarlos.
• Para los callbacks, define el registro, la anulación del registro y el momento a partir del cual no queda ningún callback en curso. Mantén vivo el estado de Rust al que apuntan hasta que el contrato foráneo garantice ese momento.
• Propón fixtures para la creación correcta, la creación fallida, las operaciones repetidas, la entrega de callbacks durante el cierre y la liberación normal. Observa las llamadas de liberación mediante un shim de prueba controlado, en lugar de basarte solo en los totales de memoria del proceso.

Trampas

Un destructor no puede crear una garantía de inactividad de los callbacks que la API foránea no ofrece. No supongas que una asignación foránea puede liberarse con un asignador no relacionado. La afirmación pública de seguridad del wrapper debe coincidir con el contrato foráneo y con todas las rutas de error. Este procedimiento no establece la seguridad de ninguna biblioteca concreta; si las reglas de propiedad o de hilos no están resueltas, hay que consultar la documentación de esa biblioteca.