Propriété des ressources en FFI Rust : associer le constructeur étranger à son véritable destructeur

Ce que c'est

Le Rustonomicon explique que les bibliothèques étrangères peuvent transférer la propriété de ressources à l'appelant et que les wrappers doivent utiliser des destructeurs pour libérer ces ressources. Il avertit aussi que les rappels (callbacks) asynchrones doivent s'arrêter avant que l'objet Rust visé ne soit détruit. Un simple pointeur brut ne code pas le contrat complet du cycle de vie. Rustonomicon: FFI

Pourquoi c'est important

Un agent peut interpréter un appel étranger réussi comme la preuve que son wrapper est sûr. Les chemins difficiles commencent souvent plus tard : un échec d'initialisation, un rappel en concurrence avec l'arrêt, ou deux objets qui croient tous deux posséder le même descripteur (handle). La méthode proposée écrit le cycle de vie avant de concevoir des méthodes pratiques.

Comment l'appliquer

• Pour chaque fonction étrangère, noter si elle emprunte, transfère ou renvoie la propriété. Identifier la fonction de libération exacte documentée et si les appels ont des exigences d'affinité de thread.
• Créer un seul propriétaire pour un descripteur acquis. Garder l'accès emprunté visiblement séparé, et éviter d'ajouter un comportement de clonage tant que la sémantique de propriété de la bibliothèque étrangère ne le justifie pas.
• Décrire l'initialisation partielle comme une séquence de ressources acquises. Pour chaque échec possible, préciser quelles ressources existent déjà et quel propriétaire doit les libérer.
• Pour les rappels, définir l'enregistrement, le désenregistrement et le point à partir duquel plus aucun rappel n'est en cours. Garder l'état Rust visé en vie jusqu'à ce que le contrat étranger garantisse ce point.
• Proposer des scénarios de test (fixtures) pour la création réussie, la création échouée, les opérations répétées, la livraison de rappels pendant l'arrêt et la libération normale. Observer les appels de libération via un shim de test contrôlé plutôt que de se fier uniquement aux totaux de mémoire du processus.

Pièges

Un destructeur ne peut pas fabriquer une garantie de quiescence des rappels que l'API étrangère ne fournit pas. Ne pas supposer qu'une allocation étrangère peut être libérée avec un allocateur sans rapport. La garantie de sécurité publique du wrapper doit correspondre au contrat étranger et à tous les chemins d'erreur. Cette procédure n'établit la sécurité pour aucune bibliothèque en particulier ; des règles de propriété ou de threading non résolues nécessitent de consulter la documentation de cette bibliothèque.