Rust 中的类型驱动正确性

演讲者介绍

• 微软 SCHIE（硅与云硬件基础设施工程）团队首席固件架构师
• 行业资深专家，专长于安全、系统编程（固件、操作系统、管理程序）、CPU 和平台架构以及 C++ 系统
• 2017 年开始使用 Rust 编程（@AWS EC2），从此爱上了这门语言

本实用指南介绍如何使用 Rust 的类型系统让整个类别的 bug无法编译。配套的 Rust Patterns 书籍涵盖了机制（traits、关联类型、type-state），而本指南则展示如何将这些机制应用到现实世界领域——硬件诊断、加密、协议验证和嵌入式系统。

这里的每个模式都遵循一个原则：将不变量从运行时检查推入类型系统，让编译器强制执行。

如何使用本书

难度图例

进度指南

带注释的目录

前置知识

构造正确性谱系

← 更安全度较低                                              更安全度较高 →

运行时检查        单元测试         属性测试          构造正确性
─────────────     ──────────       ──────────────    ──────────────────────

if temp > 100 {   #[test]          proptest! {        struct Celsius(f64);
  panic!("too     fn test_temp() {   |t in 0..200| {  // 类型层面无法
  hot");            assert!(         assert!(...)      // 与 Rpm 混淆
}                   check(42));    }
                  }                }
                                                       无效程序？
无效程序？        无效程序？       无效程序？          无法编译。
生产环境崩溃。    CI 中失败。      CI 中失败           永不复存在。
                                    （概率性）。

本指南位于最右侧的位置——在这个位置上，bug 不存在，因为类型系统无法表达它们。