如何安全地创建不安全的？

Question

UnsafeCell文档中说

不完美

唯一的施工方法是：

pub const fn new(value: T) -> UnsafeCell<T>

但是，不可能创建c_void，我们只能创建*mut c_void或*const c_void。

是否可以创建UnsecCell

还是没有必要？即使我们知道某个外国金融机构的电话会改变它所指向的数据，并且我们有多个引用，我们是否可以始终使用*mut c_void？

一个用例将是：

struct FFIStruct { v: UnsafeCell<c_void>, other_fields: ... }
impl FFIStruct {
    // We don't want to require &mut self, as we 
    // are sure private call_ffi() will always be called 
    // sequentially, and we don't want to stop
    // status() being callable during the call
    fn call_ffi(&self){ ffi_function(self.v.get()) }
    pub fn status(&self) -> FFIStatus { ... }
}

现在我们如何创建FFIStruct？或者只使用*mut c_void就可以了？

需要#！[功能（as_cell）]：

unsafe fn get_cell<'a>(p: *mut c_void) -> &'a Cell<c_void> {
    Cell::from_mut(&mut *p)
}




Answer 1

在Rust论坛的一些内部讨论和关于RFC 1861的讨论之后，我意识到c_void只是一个常见的解决方法，并且存在其他选项，例如结构不透明

所以我得出结论，我需要的是*const UnsafeCell

• 这是一个原始指针，所以适合立即发送到FFI；
• 原始指针假定const，意味着任何对*mut T的转换都会UB和程序员应该避免它。这可以保护它指向的内存在Rust中被修改（除非通过UnsecCell，原因）；
• 它包含UnsecCell，因此它意味着内部可变性。这证明FFI函数能够对其进行变异是合理的；
• 无法创建c_void，因此对于UnsecCell

降级：

use std::cell::UnsafeCell;
use std::os::raw::c_void;

//Let's say all those functions are in an FFI module,
//with the exact same behaviour
fn ffi_create() -> *mut c_void {
    Box::into_raw(Box::new(0u8)) as *mut c_void
}
unsafe fn ffi_write_u8(p: *mut c_void, v:u8) {
    *(p as *mut u8) = v;
}
unsafe fn ffi_read_u8(p: *mut c_void) -> u8 {
    *(p as *mut u8)
}

fn main() {
    unsafe {
        //let's ignore ffi_destroy() for now
        let pointer = ffi_create() as *const UnsafeCell<c_void>;
        let ref_pointer = &pointer;        
        ffi_write_u8((&*pointer).get(), 7);
        let integer = ffi_read_u8((&**ref_pointer).get());
        assert_eq!(integer, 7);
    }
}

有趣的是，在*mut c_void和*const UnsafeCell>之间转换是多么容易且符合人体工程学（但又富有表现力）

Answer 2

TL；医生：只需使用*mut Foo。这里不需要任何类型的细胞。

免责声明：目前还没有正式的锈迹记忆模型。

无法创建此类型period，因为无法¹创建c_void的实例。

问题是，你不需要创建这样的类型。别名不是空间的，而是时间的。你可以让多个*mut指向同一个地方，这并不重要，除非你尝试访问一个。这实质上是将其转换为一个引用，在该引用存在时，需要支持别名要求。

原始指针不属于Rust的安全内存模型。

-Rustonomicon酒店

与引用和智能指针不同，原始指针：

• 允许通过将不可变和可变指针或多个可变指针同时指向同一位置来忽略借用规则
• 不能保证指向有效内存
• 允许为空
• 不要实施任何自动清理

Rust编程语言

另见：

• 为什么通过原始指针修改可变引用的值不会违反Rust的别名规则

¹从技术上讲，您可以，但这只是因为实现和向后兼容性限制。