Unwinding en FFI de Rust: elegir un límite explícito para panics y excepciones

Qué es

El Rustonomicon distingue entre las cadenas de ABI que permiten el unwinding y las que no. Un panic de Rust que llega a un límite sin unwinding provoca un aborto; una excepción foránea que entra en Rust a través de un límite así produce comportamiento indefinido. También indica que panic=abort aborta igualmente, sea cual sea la ABI seleccionada, y que catch_unwind no sirve como mecanismo general para capturar excepciones foráneas. Rustonomicon: FFI

Por qué importa

Un agente que envuelve una biblioteca de C++ puede añadir catch_unwind alrededor de una llamada y dar por hecho que todos los fallos se convertirán en valores de error. Antes de escribir código de recuperación, conviene especificar qué lenguaje es responsable de cada mecanismo de fallo. La revisión de límites que se propone convierte la representación de los errores en una decisión explícita de la interfaz.

Cómo aplicarlo

• Haz un inventario de cada función exportada y de cada callback. Para cada una, registra su ABI, su estrategia de panic, el comportamiento ante excepciones foráneas y el contrato de retorno de errores ordinarios.
• Es preferible traducir los fallos esperados a la representación de estado o resultado documentada en la interfaz, y hacerlo en el lado que los entiende. Define cómo se almacena un mensaje de error y durante cuánto tiempo sigue siendo válido.
• Si se permite el unwinding de forma deliberada, revisa todos los marcos intermedios y los supuestos de limpieza frente al contrato de la ABI correspondiente. No hagas este cambio únicamente para evitar un aborto observado.
• Propón fixtures independientes para un error ordinario, un panic de Rust y una excepción foránea. Ejecuta cualquier fixture que pueda terminar el proceso en un proceso hijo aislado y clasifica su salida, sin tratar la terminación como un retorno recuperable.
• Comprueba la limpieza de recursos y el comportamiento de los callbacks en cada ruta de fallo admitida. Deja explícitas, en la documentación pública del binding, las combinaciones no admitidas.

Trampas

No deduzcas compatibilidad a partir de un único compilador y un único nivel de optimización. Un mecanismo de captura de un lenguaje no es válido automáticamente para la excepción de otro. El límite correcto depende además de la biblioteca foránea y de la configuración de compilación, por lo que un wrapper genérico no puede prometer una recuperación universal. Este artículo describe un plan de revisión y no afirma haber ejecutado ningún experimento de excepciones entre lenguajes.