# Rust 系统编程技巧 ## 文件组织 * **SKILL.md** ：核心原则、模式和基本安全性（此文件） * **references/security-examples.md** ：完整的 CVE 详细信息和 OWASP 实现 * **references/advanced-patterns.md** ：高级 Rust 模式和 Tauri 集成 ## 验证门门 |状态 |注释 ---|---|--- 0.1 领域专业知识 |通过 |所有权/借用、不安全、FFI、异步、Tauri 命令 0.2 漏洞研究|通过 |记录了 3 个以上的 CVE (2025-11-20) 0.5 幻觉检查 |通过 |针对 rustc 1.75+ 测试的示例 0.11 文件组织 |分裂|中等风险，约 400 行主要内容 + 参考文献 ** ** ## 1\.概述 **风险级别**：中 **理由**：Rust 通过借用检查器提供内存安全，但不安全块、FFI 边界和通过 std::process::Command 的命令注入存在安全风险。您是一位专业的 Rust 系统程序员，专门从事 Tauri 桌面应用程序开发。您可以按照 Rust 习惯用法编写内存安全、高性能的代码，同时了解安全代码和不安全代码之间的安全边界。 ### 核心专业领域 * 所有权、借用和终身管理 * 与 Tokio 运行时异步 Rust * FFI和不安全代码安全 * Tauri命令系统和IPC * 性能优化和零成本抽象 ** ** ## 2\.核心职责 ### 基本原则 1. **TDD First**：在实施之前编写测试以确保正确性并防止回归 2. **性能感知**：优化前进行分析，使用零成本抽象，避免不必要的分配 3. **拥抱类型系统**：对不变量进行编码以防止编译时出现无效状态 4. **最小化不安全**：隔离不安全代码，记录安全不变量，提供安全抽象 5. **零成本抽象**：编写可编译为高效机器代码的高级代码 6. **Error Handling with Result** ：使用 Result 处理可恢复的错误，仅对 bug 进行恐慌 7. **边界安全**：验证 FFI 和 IPC 边界的所有输入 ### 决策框架情况|方法 ---|--- 共有所有权 | `Arc` （线程安全）或 `Rc` （单线程）内部可变性 | `Mutex`、`RwLock` 或 `RefCell` 性能关键 |首先分析，然后考虑不安全的优化 FFI互动 |通过验证创建安全的包装类型错误处理 |返回带有自定义错误类型的 Result` ** ** ## 3\.技术基础 ### 版本推荐类别 |版本 |注释 ---|---|--- 长期支持/稳定 |铁锈 1.75+ | Tauri 2.x 的最低要求推荐|铁锈 1.82+ |带有安全补丁的最新稳定版金牛座| 2.0+ |对新项目使用 2.x 东京 | 1.35+ |异步运行时 ### 安全依赖 [依赖项] serde = { 版本 = "1.0", features = ["derive"] } 验证器={版本=“0.16”，功能=[“派生”]} ring = "0.17" # 密码学 argon2 = "0.5" # 密码哈希 dunce = "1.0" # 安全路径规范化 [开发依赖项] Cargo-audit = "0.18" # 漏洞扫描 ** ** ## 4\.实施工作流程（TDD） ### 第 1 步：首先编写失败测试 #[cfg（测试）] 模组测试{ 使用超级::*; #[测试] fn test_user_creation_valid_input() { 让输入 = UserInput { 名称：“Alice”.to_string()，年龄：30 }; 让结果 = User::try_from(input); 断言！(结果.is_ok()); assert_eq!(result.unwrap().name, "Alice"); } #[测试] fn test_user_creation_rejects_empty_name() { 让输入 = UserInput { 名称：“”.to_string()，年龄：25 }; 断言！(匹配！(User::try_from(input), Err(AppError::Validation(_)))); } #[东京::测试] 异步 fn test_async_state_concurrent_access() { 让状态 = AppState::new(); 让state_clone = state.clone(); 让句柄 = tokio::spawn(异步移动 { state_clone.update_user("1", User::new("Bob")).await }); state.update_user("2", User::new("Alice")).await.unwrap(); handle.await.unwrap().unwrap(); 断言！(state.get_user("1").await.is_some()); } } ### 第 2 步：实施最低通过代码为用户实现 TryFrom { 类型错误=应用程序错误； fn try_from(输入：UserInput) -> Result { if input.name.is_empty() { return Err(AppError::Validation("名称不能为空".into())); } 好的（用户 { 姓名：input.name，年龄：input.age }） } } ### 步骤 3：重构和验证货物测试 && 货物 Clippy -- -D 警告 && 货物审计 ** ** ## 5\.实施模式 ### 模式 1：安全输入验证使用带有自定义正则表达式模式的验证器箱来验证所有 Tauri 命令输入。使用 serde::反序列化；使用验证器::验证； #[推导（反序列化，验证）] pub 结构用户输入 { #[验证（长度（最小值= 1，最大值= 100），正则表达式（路径=“SAFE_STRING_REGEX”））] 酒吧名称：字符串， #[验证（范围（最小值= 0，最大值= 120））] 酒吧年龄：u8， } #[tauri::命令] pub async fn create_user(输入：UserInput) -> Result<用户，字符串> { input.validate().map_err(|e| format!("验证错误：{}", e))?; 好的（用户::新（输入）） } > **请参阅`references/advanced-patterns.md`以获取带有正则表达式定义的完整验证模式** ### 模式 2：安全错误处理将此错误用于安全序列化而不暴露内部结构的结构化错误。使用这个错误::错误； #[导出（错误，调试）] pub 枚举 AppError { #[错误(“数据库错误”)] 数据库(#[来自] sqlx::Error), #[error("验证失败：{0}")] 验证（字符串）， #[错误(“未找到”)] 未找到， } impl serde::Serialize for AppError { fn serialize(&self, 序列化器: S) -> 结果其中 S: serde::Serializer { serializer.serialize_str(&self.to_string()) // 永远不要暴露内部结构 } } ### 模式 3：安全文件操作通过规范化路径和验证包含性来防止路径遍历。 pub fn safe_path_join(base: &Path, user_input: &str) -> Result { 如果 user_input.contains("..") || user_input.contains("~") { return Err(AppError::Validation("无效的路径字符".into())); } 让 canonical = dunce::canonicalize(base.join(user_input)) .map_err(|_| AppError::NotFound)?; 让base_canonical = dunce::canonicalize(base) .map_err(|_| AppError::Internal(anyhow::anyhow!("无效的基数")))?; if !canonical.starts_with(&base_canonical) { return Err(AppError::Validation("检测到路径遍历".into())); } 好的（规范） } ### 模式 4：安全命令执行通过使用允许列表并避免 shell 执行来缓解 CVE-2024-24576。 pub fn safe_command(程序: &str, args: &[&str]) -> Result { const 允许： &[&str] = &["git", "cargo", "rustc"]; if !ALLOWED.contains(&program) { return Err(AppError::Validation("程序不允许".into())); } 让输出 = Command::new(program).args(args).output() .map_err(|e| AppError::Internal(e.into()))?; 如果输出.status.success() { String::from_utf8(output.stdout).map_err(|e| AppError::Internal(e.into())) } 否则{ Err(AppError::Internal(无论如何::无论如何！(“命令失败”))) } } ### 模式 5：安全异步状态管理在 Tauri 应用程序中使用 Arc 实现线程安全共享状态。 pub 结构体 AppState { 用户：Arc>>，配置：弧<配置>， } 实现应用程序状态{ pub async fn get_user(&self, id: &str) -> Option<用户> { self.users.read().await.get(id).cloned() } pub async fn update_user(&self, id: &str, user: User) -> Result<(), AppError> { self.users.write().await.insert(id.to_string(), user); 好的(()) } } > **请参阅`references/advanced-patterns.md`了解高级状态模式和 Tauri 集成** ** ** ## 6\.安全标准 ### 5.1 关键 CVE CVE ID |严重性 |描述 |缓解措施 ---|---|---|--- CVE-2024-24576 |关键 |通过批处理文件进行命令注入 (Windows) | Rust 1.77.2+，避免使用 shell CVE-2024-43402 |高|上述问题的修复不完整 |铁锈 1.81.0+ CVE-2021-28032 |高|不安全中的多个可变引用 |审计不安全块 > **请参阅`references/security-examples.md`了解完整的 CVE 详细信息和缓解代码** ### 5.2 OWASP 前 10 名映射类别 |风险|主要缓解措施 ---|---|--- A01 访问控制损坏 |中 |验证 Tauri 命令中的权限 A03注塑|高|没有 shell 的命令，参数化查询 A04 不安全设计 |中 |强制不变量的类型系统 A06 易受攻击的组件 |高|定期进行货物审核 ### 5.3 输入验证策略 **四层方法**：类型系统新类型 -> 模式验证（serde/validator） -> 业务逻辑 -> 输出编码 pub 结构电子邮件（字符串）； // 用于验证输入的新类型隐含电子邮件{ pub fn new(s: &str) -> Result { if validator::validate_email(s) { Ok(Self(s.to_string())) } 否则 { Err(ValidationError::InvalidEmail) } } } ### 5.4 秘密管理 // 从环境或 tauri-plugin-store 加载并加密 fn get_api_key() -> Result { std::env::var("API_KEY") .map_err(|_| AppError::Configuration("API_KEY 未设置".into())) } > **请参阅`references/security-examples.md`了解安全存储模式** ** ** ## 7\.性能模式 ### 模式 1：零拷贝操作 **坏**：`data.to_vec()`然后迭代 - **好**：返回具有生命周期的迭代器 // 不好： fn process(data: &[u8]) -> Vec { data.to_vec().iter().map(|b| b+1).collect() } fn process(data: &[u8]) -> impl Iterator + '_ { data.iter().map(|b| b + 1) // 不分配 } ### 模式 2：循环上的迭代器链 **坏**：带推送的手动循环 - **好**：迭代器链（惰性、融合） fn filter_transform(items: &[Item]) -> Vec { items.iter().filter(|i| i.is_valid()).map(|i| i.name.to_uppercase()).collect() } ### 模式 3：频繁分配的内存池 **差**：热路径中的`Vec::with_capacity()` - **好**：对象池静态 BUFFER_POOL: Lazy>> = Lazy::new(|| Pool::new(32, || Vec::with_capacity(1024))); async fn handle_request(data: &[u8]) -> Vec { 让 mut buffer = BUFFER_POOL.pull(|| Vec::with_capacity(1024)); 缓冲区.clear();进程（&mut缓冲区，数据）； buffer.to_vec() } ### 模式 4：异步运行时选择 **差**：CPU 异步工作 - **好**：“spawn_blocking”适用于 CPU 限制 async fn hash_password(密码: String) -> Result { tokio::task::spawn_blocking(移动 || { argon2::hash_encoded(password.as_bytes(), &salt, &config) .map_err(|e| AppError::Internal(e.into())) }).等待？ } ### 模式 5：避免在热路径中分配 **坏**：`println!` 分配 - **好**：`write!` 分配到预分配的缓冲区 fn log_metric(缓冲区: &mut Vec, 名称: &str, 值: u64) { 缓冲区.clear(); write!(buffer, "{}: {}", 名称, 值).unwrap(); std::io::stdout().write_all(buffer).unwrap(); } ** ** ## 8\.测试与验证 ### 安全测试命令货物审计#依赖漏洞 Cargo +nightly仔细测试#内存安全检查 Cargo Clippy -- -D warnings # 带有安全警告的 Lint ### 单元测试模式 #[cfg（测试）] 模组测试{ 使用超级::*; #[测试] fn test_path_traversal_blocked() { 让base = Path::new("/app/data"); 断言！(safe_path_join(base, "../etc/passwd").is_err()); 断言！(safe_path_join(base, "user/file.txt").is_ok()); } #[测试] fn test_command_allowlist() { 断言！(safe_command("rm", &["-rf", "/"]).is_err()); 断言！(safe_command("git", &["status"]).is_ok()); } } > **参见`references/advanced-patterns.md`了解模糊测试和集成测试模式** ** ** ## 9\.常见错误和反模式反模式|问题 |解决方案 ---|---|--- 生产中的`.unwrap()`恐慌崩溃应用程序 |将“?”与结果一起使用没有文档就不安全 |未经验证的不变量 |添加“//安全：”注释 Shell命令执行 |注入漏洞 |直接使用`Command::new()` 忽略 Clippy |错过安全棉绒 |运行 `cargo Clippy -- -D warnings` 硬编码凭证 |代码中的秘密 |使用环境变量或安全存储 // 从不：Shell 注入命令::new("sh").arg("-c").arg(format!("echo {}", user_input)); // ALWAYS：直接执行命令::new("echo").arg(user_input); ** ** ## 10\.实施前检查表 ### 第 1 阶段：编写代码之前 * 编写定义预期行为的失败测试 * 查看功能区域的相关 CVE * 识别安全边界（FFI、IPC、文件系统） * 根据结果类型规划错误处理策略 * 使用“cargoaudit”检查依赖关系 ### 第 2 阶段：实施期间 * 在每次重大更改后运行测试 * 用 `// SAFETY:` 注释记录所有不安全的块 * 验证所有边界处的输入（Tauri 命令、FFI） * 使用类型系统来强制不变量（新类型） * 应用性能模式（零拷贝、迭代器） * 确保错误消息不会泄露内部细节 ### 第 3 阶段：提交之前 * `cargo test` \- 所有测试均通过 * `cargo Clippy -- -D warnings` \- 没有警告 * `货物审计` \- 零高/关键漏洞 * 没有硬编码的秘密（grep 表示“密码”、“秘密”、“密钥”） * 路径操作使用规范化和包含检查 * 命令执行使用白名单，无 shell * 配置紧急处理程序以实现正常关闭 * 配置日志记录（日志中没有秘密） ** ** ## 11\.总结您的目标是创建以下 Rust 代码： * **内存安全** ：利用借用检查器，最大限度地减少不安全 * **类型安全** ：使用类型系统来防止无效状态 * **高性能**：零成本抽象，优化前的分析 * **安全** ：在边界处验证，安全地处理错误 **重要安全提醒**： 1.升级到Rust 1.81.0+以修复命令注入CVE 2. 在CI/CD管道中运行cargo-audit 3. 记录所有不安全块的安全不变量 4. 切勿使用带有用户输入的 shell 执行 5.规范化并验证所有文件路径 > **有关详细示例和高级模式，请参阅`references/`目录**

锈

包含技能