为何实例化core::time::Nanoseconds需要使用unsafe块？

核心原因：标准库与自定义实现的本质差异 #

你看到的core::time内部的Nanoseconds和你自己写的版本有关键区别：

1. 标准库的Nanoseconds是私有且字段封闭的 #

标准库中的Nanoseconds是内部私有类型，它的底层u32字段不对外暴露。为了确保实例化的数值必须满足「小于NANOS_PER_SEC（1e9）」的约束，标准库只允许通过unsafe方式构造——因为外部调用者无法自行验证数值合法性，必须由调用者手动保证传入的值符合范围，unsafe在这里的作用就是标记这个「需要调用者自行负责安全」的边界。

2. 你的自定义实现字段是公开的 #

你写的Nanoseconds是公有的元组结构体，底层的u32字段默认是公开的，所以任何人都可以直接通过Nanoseconds(xxx)构造实例，哪怕数值超过NANOS_PER_SEC。这种情况下unsafe块完全多余，rustc的警告也正是因为这一点——构造公开的元组结构体不需要任何unsafe操作。

如何让自定义实现对齐标准库的行为 #

如果想让你的Nanoseconds和标准库一样，强制保证数值范围合法性，可以这么做：

1. 将结构体的字段设为私有
2. 提供安全的构造函数（自动检查范围）或unsafe构造函数（由调用者保证合法性）

示例代码：

#[derive(Clone, Copy, PartialEq, Eq, PartialOrd, Ord, Hash)]
#[repr(transparent)]
struct Nanoseconds(u32);

const NANOS_PER_SEC: u32 = 1_000_000_000;

impl Nanoseconds {
    // 安全构造：自动检查数值是否在合法范围内
    pub fn new(nanos: u32) -> Option<Self> {
        if nanos < NANOS_PER_SEC {
            Some(Self(nanos))
        } else {
            None
        }
    }

    // 不安全构造：由调用者保证传入的数值符合要求
    pub unsafe fn new_unchecked(nanos: u32) -> Self {
        Self(nanos)
    }
}

impl Default for Nanoseconds {
    #[inline]
    fn default() -> Self {
        // 0是明确合法的值，这里可以安全使用unsafe构造
        unsafe { Self::new_unchecked(0) }
        // 也可以用安全方式：Self::new(0).unwrap()
    }
}

fn main() {
    // 安全构造合法值
    let valid_nanos = Nanoseconds::new(500_000_000).unwrap();
    println!("Valid nanos: {}", valid_nanos.0);

    // 尝试构造非法值会返回None
    let invalid_nanos = Nanoseconds::new(1_500_000_000);
    assert!(invalid_nanos.is_none());

    // 使用unsafe构造，需自行确保数值合法
    let unsafe_nanos = unsafe { Nanoseconds::new_unchecked(999_999_999) };
    println!("Unsafe nanos: {}", unsafe_nanos.0);
}

这样实现后，直接构造Nanoseconds(xxx)会因为字段私有而编译失败，必须通过提供的构造函数来创建实例，从而保证数值的合法性——这时候unsafe块的存在就合理了，对应标准库中「调用者自行保证安全」的设计。

内容的提问来源于stack exchange，提问作者user22747722