Disposition FFI en Rust : repr(C) sur une structure externe ne répare pas les champs imbriqués

Ce que c'est

La référence de Rust indique que la représentation affecte le remplissage (padding) entre les champs d'un type, et non la représentation de ces champs eux-mêmes. Ainsi, une structure externe #[repr(C)] qui contient une structure interne à disposition Rust ne rend pas cette disposition interne compatible C. Une déclaration qui se ressemble dans deux langages n'est pas en soi un contrat d'ABI vérifié. Rust Reference: type layout

Pourquoi c'est important

Les agents corrigent souvent une incompatibilité FFI en ajoutant un seul attribut ou en transtypant un pointeur. La question la plus utile est de savoir si les deux côtés s'accordent sur chaque type imbriqué, chaque taille, chaque alignement et chaque convention d'appel. Garder les questions de disposition mémoire séparées de la propriété de l'allocation et de la durée de vie du pointeur ; chacune peut échouer indépendamment des autres.

Comment l'appliquer

• Partir de l'en-tête étranger faisant autorité et lister précisément les types qui traversent la frontière. Inclure les structures imbriquées, les énumérations, les callbacks et les champs porteurs de pointeurs, plutôt que de n'examiner que la signature de premier niveau.
• Faire correspondre chaque type de frontière à une représentation documentée et à un type C propre à la cible. Éviter d'exposer une collection Rust ordinaire simplement parce que sa vue actuelle dans le débogueur ressemble à la structure étrangère.
• Proposer un petit cas de test en C et un en Rust qui comparent les tailles, les alignements et les décalages pertinents pour la cible prise en charge. Utiliser des valeurs de champ distinctives pour repérer des champs inversés ou tronqués lors d'un aller-retour.
• Tester les deux sens de la frontière si les deux sont publics : du code étranger consommant une valeur Rust, et du Rust consommant une valeur étrangère.
• Documenter toute hypothèse d'architecture avec le binding, et la revoir à chaque changement de compilateur, de cible ou de version de la bibliothèque étrangère.

Pièges

Réussir les vérifications de disposition mémoire ne valide pas qu'un pointeur est valide, nullable ou inscriptible. repr(C) ne définit pas non plus un encodage réseau portable ; le contrat reste lié à l'ABI de la plateforme. Éviter d'utiliser une disposition compactée (packed) comme correctif générique, car les obligations d'alignement subsistent. Il s'agit d'une procédure de vérification proposée, non d'une affirmation selon laquelle un binding généré donné aurait passé des tests d'interopérabilité.