Rust如何在函数未被调用时检测局部变量的悬空引用？

问题场景 #

首先看这段代码，即使main函数里没有调用foo，Rust依然会报错：

fn foo<'a>() -> &'a i32 {
    let i = 2;
    &i
}

fn main() { }

用户尝试手动添加生命周期标注后，认为生命周期应该能匹配，不该报错：

fn foo<'a>() -> &'a i32 {
    'b: {
        let i = 2;          // i 的生命周期为 'b
        &'c i
    }
}

用户的逻辑是：Rust会推断'c = 'b，返回值是&'c i32，所以'a会被实例化为'c也就是'b，所有生命周期都匹配。

用户认为只有在实际调用且生命周期不匹配时才该报错，比如这个场景：

fn main() {
    'd: {
        let i_ref: &'d i32 = foo();    // foo() 的生命周期为 'b
    }
}

此时'a = 'c = 'b，但'b无法覆盖'd，存在生命周期不匹配，这时候报错才合理。

疑问：Rust如何在未调用foo函数的第一种场景下检测到悬空引用？

解答 #

Rust的生命周期检查核心是函数签名必须保证“对所有可能的调用场景都安全”，而非仅针对已存在的调用。

在foo的定义中，你声明它能返回一个任意生命周期'a的引用——意味着调用者可以要求这个引用存活任意时长（比如整个程序的生命周期）。但函数内部返回的引用指向局部变量i，它的生命周期'b只局限于函数内部的代码块，根本不可能满足“存活任意长”的要求。

你觉得'a会被实例化为'b，这里逻辑搞反了：生命周期参数'a是由调用者决定的，不是函数自身决定的。函数必须保证，无论调用者指定什么样的'a（符合语法规则的前提下），返回的引用都能覆盖'a的生命周期。显然你的foo做不到这一点，因为i的生命周期固定在函数内部，不可能延伸到外部。

简单说，Rust检查函数定义时，会验证「返回引用的生命周期是否至少和函数签名中声明的输出生命周期一样长」。这里返回引用的生命周期'b完全被包含在函数内部，远短于调用者可能要求的'a，所以直接在定义阶段就报错，根本不需要等到实际调用——因为这个函数从定义上就是不安全的，任何调用都会导致悬空引用。

你设想的调用场景，本质是函数定义不合法后的衍生问题，但Rust会在定义阶段就把这种明显违反内存安全的代码拦下来，避免后续风险。

内容的提问来源于stack exchange，提问作者cadaniluk