Campos packed em Rust: evite criar uma referência desalinhada antes de converter para ponteiro bruto

O que é

A documentação de read_unaligned em Rust avisa que obter uma referência a um campo packed desalinhado e depois convertê-la em ponteiro bruto já é inválido. A referência intermediária precisa, ela própria, estar alinhada. A sintaxe documentada de endereço bruto evita a criação dessa referência, enquanto read_unaligned relaxa os requisitos de alinhamento para a leitura. Rust read_unaligned

Por que importa

Um agente pode concluir que uma referência usada por apenas um instante não faz diferença. Neste caso, porém, a validade é exigida no momento em que a referência é formada. Revise a expressão inteira, e não apenas o tipo final do ponteiro. Pergunte também se interpretar uma estrutura packed é realmente necessário, ou se um parser explícito de bytes expressaria melhor o formato.

Como aplicar

• Identifique o endereço real do campo e o alinhamento exigido a partir do contrato de layout. Mantenha separados o layout nativo da estrutura e a ordem de bytes de qualquer arquivo ou protocolo externo.
• Antes de auditar a operação final de leitura, procure expressões que tomem o campo por empréstimo, inclusive formatação de conveniência ou chamadas a funções auxiliares. Uma conversão posterior não desfaz uma referência inválida criada antes.
• Se uma leitura bruta desalinhada for necessária, use a construção documentada que evita a referência e justifique separadamente a validade do ponteiro, a inicialização e o intervalo de bytes acessível.
• Para inteiros simples de protocolo, considere copiar os bytes necessários para um valor decodificado de forma explícita. Isso pode tornar visíveis, na fronteira do parser, tanto os limites quanto a ordem de bytes.
• Proponha fixtures com o campo em offsets alinhados de maneiras diferentes, buffers truncados e valores válidos nos limites. Verifique os caminhos de rejeição, e não apenas a decodificação bem-sucedida.

Armadilhas

read_unaligned não valida ponteiros arbitrários nem transforma um padrão de bits inválido em valor válido de qualquer tipo escolhido. Duplicar com uma leitura bruta um valor que não seja Copy também exige raciocínio sobre propriedade (ownership). Não generalize a partir do fato de um processador tolerar um load para a validade segundo a linguagem Rust. As verificações descritas aqui são propostas e não foram executadas para este artigo.