English Original

Rust 中的类型驱动正确性

讲师简介

• Microsoft SCHIE（Silicon and Cloud Hardware Infrastructure Engineering，硅与云硬件基础设施工程）团队首席固件架构师
• 行业资深专家，专长于安全、系统编程（固件、操作系统、虚拟机管理程序）、CPU 与 platform 架构以及 C++ 系统
• 2017 年在 AWS EC2 开始使用 Rust 编程，从此爱上了这门语言

这是一本关于如何利用 Rust 类型系统，让整类 bug 在编译阶段就无法出现 的实用指南。虽然配套书籍 Rust 模式 讲解了相关机制（Traits、关联类型、Type-state），但本指南将展示如何将这些机制 应用 到真实世界领域——如硬件诊断、密码学、协议校验和嵌入式系统。

这里的每一个模式都遵循同一个原则：将运行时检查的不变量推动到类型系统中，从而让编译器强制执行它们。

如何使用本书

难度说明

学习进度指南

目录注释

前置要求

“构造即正确”光谱

较低安全性                                                    较高安全性

运行时检查          单元测试          属性测试          构造即正确
----------------    ----------        --------------      -----------------------

if temp > 100 {     #[test]           proptest! {         struct Celsius(f64);
  panic!("too       fn test_temp() {    |t in 0..200| {   // 不能在类型层面上
  hot");              assert!(          assert!(...)       // 与 Rpm 混淆
}                     check(42));     }
                    }                 }

无效程序？          无效程序？        无效程序？          无效程序？
在生产中崩溃。      在 CI 中失败。    在 CI 中失败        无法编译。
                                      (概率性的)。        根本不存在。

本指南工作在最右侧的位置——在那里， bug 不存在，因为类型系统 无法表达它们。