如何借助Rust借用检查器管控C API外部引用以避免UB？

问题背景 #

有一个C API对外暴露了指向某数据的不透明指针，以及针对某字段的两个访问器：void set_string(struct foo*, const char*) 和 const char* get_string(struct foo*)，其文档说明如下：

get_string 返回的字符串仅在foo的不透明指针有效且未后续调用set_string时合法，否则行为未定义（UB）。

对应的C头文件示例：

//foo.h
struct foo;
const char* get_string(struct foo*);
void set_string(struct foo*, const char*);

通过bindgen生成绑定后，希望借助Rust借用检查器监管该外部引用，避免潜在的未定义行为。曾尝试以下代码但未达到预期效果：

use foo::foo;
use std::marker::PhantomData;

struct Foo<'a> {
    pointer: *const foo,
    _phantom: PhantomData<&'a CStr>,
}

解决方案 #

核心思路是通过生命周期绑定+借用规则，让Rust编译器自动约束get_string返回的引用与Foo实例的关系，同时禁止在持有引用期间调用set_string。以下是具体实现：

1. 封装安全的Foo结构体 #

先定义封装不透明指针的结构体，用PhantomData标记所有权语义，明确指针的可变性：

use std::marker::PhantomData;
use std::ffi::{CStr, CString};
use libc::c_char;

// 模拟bindgen生成的绑定模块
mod foo {
    pub struct foo;
    extern "C" {
        pub fn get_string(f: *const foo) -> *const super::c_char;
        pub fn set_string(f: *mut foo, s: *const super::c_char);
    }
}

pub struct Foo {
    ptr: *mut foo::foo,
    // 标记结构体拥有对foo实例的所有权语义
    _phantom: PhantomData<foo::foo>,
}

2. 实现带生命周期约束的get_string #

让get_string返回与self绑定的&CStr，这样借用检查器会跟踪该引用的生命周期，确保引用有效期间self不能被可变借用：

impl Foo {
    // 安全前提：传入的ptr必须是有效的foo实例指针
    pub unsafe fn new(ptr: *mut foo::foo) -> Self {
        Foo {
            ptr,
            _phantom: PhantomData,
        }
    }

    pub fn get_string(&self) -> &CStr {
        unsafe {
            let c_str_ptr = foo::get_string(self.ptr);
            // 符合C API约束：此时self有效且未调用set_string，指针合法
            CStr::from_ptr(c_str_ptr)
        }
    }

3. 用可变借用约束set_string调用 #

将set_string设计为需要&mut self，这样当持有get_string返回的不可变引用时，借用检查器会直接阻止调用set_string，完美匹配C API的规则：

pub fn set_string(&mut self, s: &CStr) {
        unsafe {
            foo::set_string(self.ptr, s.as_ptr());
        }
    }
}

4. 验证约束效果 #

以下代码会被编译器拒绝，因为违反了借用规则——持有不可变引用时无法进行可变借用：

fn main() {
    // 模拟获取有效的foo指针（实际场景需根据C API逻辑获取）
    let foo_ptr = unsafe { std::ptr::null_mut() };
    let mut foo_instance = unsafe { Foo::new(foo_ptr) };

    let s_ref = foo_instance.get_string();
    // 编译错误：cannot borrow `foo_instance` as mutable because it is also borrowed as immutable
    foo_instance.set_string(CString::new("test").unwrap().as_c_str());
    println!("{}", s_ref.to_str().unwrap());
}

原方案无效的原因 #

你之前定义的Foo<'a>用了PhantomData<&'a CStr>，但这个生命周期'a没有和任何实际引用绑定，属于无约束的空生命周期，无法让借用检查器关联Foo实例与返回的字符串引用。正确的做法是让get_string的返回引用绑定到self的生命周期，同时用&mut self限制set_string的调用时机。

内容的提问来源于stack exchange，提问作者bartop