Python与Rust间传递整数的安全性探究及相关问题咨询

我们通过Python的ctypes调用以下Rust编写的add函数：

#[no_mangle]
pub extern fn add(left: i32, right: i32) -> i32 {
    return left+right;
}

对应的Python调用代码：

import ctypes

def rust_add(left, right):
    rust_lib = ctypes.CDLL("path/to/the/so/file")
    return rust_lib.add(left, right)

请问该调用方式是否安全？

预期隐患：整数溢出 #

1. 输入溢出：若传入的left或right超出i32范围，可能导致Rust运行时错误或返回错误结果，使用NumPy的uint32做类型检查能否规避？
2. 运算过程溢出：如传入2^31-1与2，相加时会溢出，Rust在调试模式会panic，发布模式会继续执行并返回错误值。

额外咨询 #

1. 除全面测试外，有无成熟方案解决动态宽度语言（如Python）与固定宽度语言（如Rust）间整数传递的难题？
2. Python与Rust间传递整数除整数溢出外，还有其他问题吗？

一、该调用方式是否安全？ #

不安全，核心风险就是你提到的整数溢出，输入阶段和运算阶段都存在不可控行为，会导致结果错误甚至程序崩溃。

关于输入溢出的疑问 #

首先纠正一个关键细节：Rust的i32是有符号32位整数，合法范围是-2^31到2^31-1（即-2147483648到2147483647），并非2^32。用NumPy的uint32做检查无法完全规避问题：

• uint32的范围是0到2^{32-1，其中大于2}31-1的数值依然超出i32的正数范围，传入Rust时会被截断为错误的有符号值（比如2^{31会被转成-2}31）。
• Python整数是任意精度的，转成uint32的过程本身就可能溢出，无法提前拦截所有非法输入。

正确的做法是在Python层直接校验输入是否在i32合法范围内，同时显式指定ctypes的参数和返回值类型：

import ctypes

I32_MIN = -2**31
I32_MAX = 2**31 - 1

def rust_add(left, right):
    if not (I32_MIN <= left <= I32_MAX) or not (I32_MIN <= right <= I32_MAX):
        raise ValueError("输入值超出i32范围")
    rust_lib = ctypes.CDLL("path/to/the/so/file")
    # 显式指定类型，避免ctypes自动推断出错
    rust_lib.add.argtypes = [ctypes.c_int32, ctypes.c_int32]
    rust_lib.add.restype = ctypes.c_int32
    return rust_lib.add(left, right)

关于运算过程溢出的疑问 #

Rust的整数溢出行为分模式：

• 调试模式：溢出直接panic，会导致调用它的Python程序崩溃。
• 发布模式：溢出执行环绕运算（比如2147483647 + 1会变成-2147483648），返回逻辑错误的结果但不崩溃。

解决运算溢出有两种可靠方案：

1. Rust层使用带溢出检查的方法，返回Option<i32>，Python层处理空值：

#[no_mangle]
pub extern fn add_checked(left: i32, right: i32) -> *const i32 {
    match left.checked_add(right) {
        Some(result) => &result as *const i32,
        None => std::ptr::null(),
    }
}

Python调用时判断返回指针是否为空：

def rust_add_checked(left, right):
    if not (I32_MIN <= left <= I32_MAX) or not (I32_MIN <= right <= I32_MAX):
        raise ValueError("输入值超出i32范围")
    rust_lib = ctypes.CDLL("path/to/the/so/file")
    rust_lib.add_checked.argtypes = [ctypes.c_int32, ctypes.c_int32]
    rust_lib.add_checked.restype = ctypes.POINTER(ctypes.c_int32)
    result_ptr = rust_lib.add_checked(left, right)
    if result_ptr:
        return result_ptr.contents.value
    else:
        raise OverflowError("加法运算溢出")

2. Rust层改用更大的整数类型（如i64），降低溢出概率，同时Python层对应调整类型绑定。

二、动态与固定宽度语言整数传递的成熟方案 #

除手动范围检查外，这些方案更高效可靠：

1. 使用FFI绑定工具：比如PyO3/maturin直接编写Python扩展，或用bindgen生成Rust到C的绑定，这些工具会自动处理类型转换和范围校验，避免手动编码错误。
2. 统一使用大整数类型：Rust层用i64/u64，Python整数可直接映射到这些类型，溢出风险大幅降低；若需更大数值，可使用Rust的BigInt与Pythonint做对应。
3. 显式序列化契约：用protobuf、flatbuffer等定义数据结构，序列化后传递，工具会自动处理类型校验和跨语言转换。

三、整数传递的其他问题 #

除溢出外，还有这些常见坑：

• 类型推断错误：ctypes默认将Python整数转成C的int，若系统int是64位而Rust用i32，会导致截断错误，必须显式指定argtypes和restype。
• 符号位错误：未指定正确的有符号类型时，Python负数会被当成无符号数传递，导致Rust拿到错误值。
• 空指针访问：若Rust返回指针类型，Python层错误处理可能触发空指针访问，导致程序崩溃。
• 字节序问题：跨平台时若未统一字节序，可能出现数值解析错误（多数系统为小端序，该问题较少见但需留意）。

内容的提问来源于stack exchange，提问作者Tom Hosker