依赖特定入参约束的Rust函数是否应当被标记为unsafe？

你的实现完全符合Rust的最佳实践，把这个函数标记为unsafe是完全合理的。

Rust中判断一个函数是否需要标记为unsafe的核心标准，和函数有没有副作用、内部有没有写unsafe代码完全无关：只要函数存在必须由调用方保证的前置约束，且约束被违反后会直接或间接引发未定义行为（UB），就应该标记为unsafe，强制调用方用unsafe块来表明「我已经确认所有前置约束都满足」。

放到你的场景下：

• 你明确要求入参align必须是2的幂，且为了性能放弃了运行时校验
• 如果调用方传入非2的幂的align，最终返回的地址不满足对齐要求，后续用这个地址做指针访问、内存操作必然触发UB
• 这个约束无法被Rust编译器自动校验，必须由调用方主动保证，完全符合unsafe函数的适用场景。

可选优化方案 #

如果部分使用场景下对齐量是编译期常量，可以额外提供一个const泛型版本，不需要标记unsafe也完全不损失性能：

/// 将给定地址`addr`向上对齐到指定对齐量`ALIGN`
/// 编译期自动校验`ALIGN`为2的幂，无需unsafe调用
fn align_next_const<const ALIGN: usize>(addr: usize) -> usize {
    const { assert!(ALIGN.is_power_of_two(), "ALIGN必须是2的幂"); }
    (addr + ALIGN - 1) & !(ALIGN - 1)
}

标准库中也有大量同类设计参考，比如std::str::from_utf8_unchecked，内部只是做切片到字符串的类型转换，本身没有unsafe操作，但是因为要求输入必须是合法UTF-8序列、违反会引发UB，所以被标记为unsafe，和你的设计逻辑完全一致。

内容的提问来源于stack exchange，提问作者nebulaeandstars