如何确保Rust项目依赖传递性使用Safe Rust？能否在Cargo.toml声明？

一、如何确保项目依赖使用Safe Rust？ #

Rust中的unsafe代码是显式标记的，但要确认直接和间接依赖是否仅使用Safe Rust，需要借助工具辅助验证：

• 安装cargo-geiger工具：执行命令 cargo install cargo-geiger
• 扫描项目依赖：在项目根目录运行 cargo geiger，它会遍历所有直接和传递依赖，输出每个crate中unsafe代码的占比、具体位置等详细信息。
• 补充确认：部分crate会在README或官方文档中明确标注自身为100% Safe Rust，你可以优先选择这类crate，但最终仍需以工具扫描结果为准——因为它们的依赖可能引入unsafe代码。

二、能否在Cargo.toml中声明仅依赖传递性Safe的第三方crate？ #

目前Cargo本身没有原生支持这种强制约束的功能，因为依赖的unsafe使用情况会随版本更新发生变化。不过可以通过以下方式实现类似的管控：

• 将cargo geiger纳入CI流程：每次代码提交或构建时自动运行扫描，若检测到依赖中存在unsafe代码就终止构建，从流程上保证项目仅依赖符合要求的crate。
• 自定义元数据标注：在Cargo.toml中添加[package.metadata.safe-deps]区块，手动标注已确认的Safe依赖，但这仅作为团队内部约定，Cargo不会自动验证其有效性。
• 优先选择社区认证的Safe crate：有些社区集合会收录纯Safe的crate，但无法直接在Cargo.toml中强制依赖这类集合，仍需工具扫描验证。

内容的提问来源于stack exchange，提问作者RamG