Rust中仅在原生命周期内使用时，转非静态引用为静态引用是否合法？

如果仅在原引用的生命周期范围内使用，把非静态可变引用转换为&'static mut f64是否合法？以下代码能通过Miri检查，但是否不存在未定义行为？

use std::thread;

fn f1(x: &'static mut f64) {
    *x += 1.0;
}

fn f2(x: &'static mut f64) {
    *x *= *x;
}

fn f3(x: &'static mut f64) {
    *x = (*x).log10();
}

fn main() {
    let mut a = vec![1.0f64, 9.0, 100.0];
    let funcs = vec![f1, f2, f3];
    let a_mut = a.iter_mut().collect::<Vec<_>>();
    thread::scope(|s| {
        for (x,f) in a_mut.into_iter().zip(&funcs) {
            s.spawn(|| {
                f(unsafe{std::mem::transmute::<_,&'static mut f64>(x)});
            });
        }
    });
    println!("a -> {a:?}");
}

上述代码通过transmute将非静态可变引用传入接收&'static mut f64的函数，且所有执行逻辑被限制在该可变引用的生命周期范围内（通过thread::scope确保线程在原数据存活期间完成操作）。

使用Fn(&'static mut f64)的类似示例 #

use std::thread;

fn f1(x: &'static mut f64) {
    *x += 1.0;
}

fn f2(x: &'static mut f64) {
    *x *= *x;
}

fn f3(x: &'static mut f64) {
    *x = (*x).log10();
}

fn main() {
    let mut a = vec![1.0f64, 9.0, 100.0];
    let funcs = vec![
        &f1 as &(dyn Fn(&'static mut f64) + Send + Sync),
        &f2 as &(dyn Fn(&'static mut f64) + Send + Sync),
        &f3 as &(dyn Fn(&'static mut f64) + Send + Sync)
    ];
    let a_mut = a.iter_mut().collect::<Vec<_>>();
    thread::scope(|s| {
        for (x,f) in a_mut.into_iter().zip(funcs) {
            s.spawn(|| {
                f(unsafe{std::mem::transmute::<_,&'static mut f64>(x)});
            });
        }
    });
    println!("a -> {a:?}");
}

注：示例较为刻意，原本可通过不要求'static避免使用transmute，但问题核心为生命周期变更的合法性。

问题解答 #

这种操作存在未定义行为风险，即使通过Miri检查也不能视为完全安全，原因如下：

• Rust的生命周期系统不仅是对数据存活时间的约束，更是编译器保证内存安全的核心契约。&'static mut f64的语义是“引用指向的数据会存活到程序结束”，而手动通过transmute转换生命周期，直接违反了这个契约——你只是手动保证了使用时间在原生命周期内，但并没有真正让数据满足'static的要求。

• 编译器会基于'static的假设进行优化，比如认为该引用指向的数据永远不会被销毁，可能会进行激进的代码重排、常量折叠等操作。虽然当前代码在thread::scope的约束下运行正常，但后续代码变更或编译器版本升级都可能触发不可预测的问题。

• Miri是强大的内存安全检查工具，但它无法覆盖所有未定义行为的场景。它只能检测当前执行路径中的内存问题，无法预判编译器优化带来的潜在风险。

正确的处理方式 #

• 优先调整函数签名，去掉'static约束，让函数接受任意生命周期的可变引用：fn f1(x: &mut f64)，这是最符合Rust安全规则的做法。
• 如果必须使用'static签名，应确保数据本身确实是静态的，比如通过Box::leak(Box::new(data))将堆分配数据转为静态引用，但这会导致内存泄漏，仅适用于确实需要长期存活的数据。

内容的提问来源于stack exchange，提问作者FreD