CString em uma fronteira FFI: diferencie ponteiro emprestado de transferência de propriedade

O que é

CString representa uma string própria (owned), compatível com C, terminada em NUL e sem bytes NUL internos. A documentação distingue entre emprestar um ponteiro e consumir o CString para obter um ponteiro bruto. Recuperar a propriedade com from_raw só é permitido para ponteiros produzidos pelo caminho into_raw correspondente, e há requisitos adicionais quanto ao comprimento da string. Rust CString

Por que importa

Um agente pode escrever uma expressão compacta que obtém um ponteiro a partir de um temporário e perde o dono cedo demais. Outro erro é tratar todo ponteiro char devolvido por C como uma string pertencente ao Rust. Comece classificando a função externa: empréstimo imediato, empréstimo retido ou transferência de propriedade.

Como aplicar

• Leia as regras de retenção e de mutação da API externa. Registre se o ponteiro é usado apenas durante a chamada, se é retido depois, se é modificado ou se acaba sendo liberado pelo lado externo.
• Em uma chamada com empréstimo, associe o CString a um dono cujo tempo de vida cubra todos os acessos externos. Trate explicitamente a falha de construção causada por NUL interno, em vez de truncar a entrada silenciosamente.
• Se o lado externo retém o ponteiro, projete um dono ou um objeto de registro que permaneça vivo até que a liberação seja confirmada. Uma variável local comum não basta quando callbacks podem sobreviver à chamada.
• Use into_raw e from_raw somente quando o ciclo completo de propriedade estiver coberto pelo contrato documentado. Mantenha uma alocação externa não relacionada em seu próprio caminho de liberação externo.
• Proponha fixtures de fronteira para strings vazias, NUL interno, bytes não ASCII, acesso retido e limpeza repetida. Valide tanto o conteúdo quanto o comportamento de propriedade.

Armadilhas

A terminação em NUL, por si só, não diz nada sobre a codificação de texto esperada pela biblioteca externa. Um ponteiro const não autoriza o lado externo a modificar a alocação. Evite ilustrar a transferência de propriedade sem mostrar também quem acaba recuperando ou liberando o recurso. Estas verificações propostas não afirmam nenhuma execução de FFI nem prova de segurança de memória.