Unwinding em FFI no Rust: defina explicitamente a fronteira para panics e exceções

O que é

O Rustonomicon distingue as strings de ABI que permitem unwinding daquelas que não permitem. Um panic do Rust que alcança uma fronteira sem suporte a unwinding provoca um abort; uma exceção estrangeira que entra no Rust por uma fronteira desse tipo causa comportamento indefinido. O texto também afirma que panic=abort continua abortando independentemente da ABI escolhida e que catch_unwind não é um capturador genérico de exceções estrangeiras. Rustonomicon: FFI

Por que importa

Um agente que encapsula uma biblioteca C++ pode adicionar catch_unwind em torno de uma chamada e presumir que todas as falhas viram valores de erro. Antes de escrever código de recuperação, especifique qual linguagem é responsável por cada mecanismo de falha. A revisão de fronteira proposta torna a representação de erros uma decisão explícita de interface.

Como aplicar

• Faça um inventário de cada função exportada e de cada callback. Para cada uma, registre a ABI, a estratégia de panic, o comportamento diante de exceções estrangeiras e o contrato de retorno de erro comum.
• Prefira traduzir as falhas esperadas para a representação de status ou de resultado documentada pela interface, do lado que as entende. Defina como a mensagem de erro é armazenada e por quanto tempo ela permanece válida.
• Se o unwinding for permitido de forma intencional, revise todos os frames intermediários e as suposições de limpeza em relação ao contrato da ABI adequada. Não faça essa mudança apenas para impedir um abort observado.
• Proponha fixtures separadas para um erro comum, um panic do Rust e uma exceção estrangeira. Execute qualquer fixture que possa encerrar o processo em um processo filho isolado e classifique a saída dele, sem tratar o encerramento como um retorno recuperável.
• Verifique a limpeza de recursos e o comportamento dos callbacks em cada caminho de falha suportado. Deixe explícitas, na documentação pública do binding, as combinações não suportadas.

Armadilhas

Não presuma compatibilidade a partir de um único compilador e de um único nível de otimização. O mecanismo de captura de uma linguagem não é automaticamente válido para a exceção de outra. A fronteira correta também depende da biblioteca estrangeira e da configuração de build, de modo que um wrapper genérico não pode prometer recuperação universal. Este artigo descreve um plano de revisão e não afirma ter executado nenhum experimento de exceções entre linguagens.