为何Rust结构体添加PhantomData<T>仍编译通过且存在释放后使用漏洞

底层核心规则 #

• Rust的借用检查仅对引用（&T/&mut T）生效，裸指针（*const T/*mut T）本身不携带生命周期信息，也不会被编译器自动校验指向的内存有效性，所有约束需要开发者手动维护。
• PhantomData是零大小的标记类型，作用是为结构体补充未直接存储的类型语义，不同的泛型参数对应不同的约束：
  • PhantomData<T>：表示结构体持有T类型的所有权，编译器会假设该结构体的Drop实现会访问/销毁T类型的值，会影响drop检查（dropck）的逻辑。
  • PhantomData<&'a mut T>：表示结构体持有一个生命周期为'a的&mut T引用，编译器会强制要求'a的生命周期不短于结构体本身的生命周期。
• 当使用#[may_dangle]特性（dropck eyepatch）时，会取消dropck默认的「泛型参数T生命周期必须长于结构体」约束，仅当结构体通过PhantomData<T>显式声明持有T的所有权时，才会保留该生命周期约束。

逐代码说明 #

代码1编译通过且存在UAF的原因 #

你对PhantomData<T>的语义理解没有错，它确实会告诉编译器World持有T的所有权，但问题出在两个地方：

1. 你直接将栈变量的引用转换为裸指针存入World.ptr，裸指针不携带生命周期，编译器无法将指针指向的栈变量和World的泛型参数T建立生命周期绑定，自然不会检查指针指向的变量是否真的比World存活更久。
2. 你示例中第二个v属于变量遮蔽，第一个v并没有被提前销毁，只是无法通过变量名访问，它的生命周期和World一样持续到main函数结束；如果调整代码顺序，先声明world再声明v并给world.ptr赋值，就能明确触发UAF，而编译器依然不会报错，因为裸指针不受借用检查约束。

代码2和代码3的行为差异 #

你使用了#![feature(dropck_eyepatch)]，并且为MyBox的Drop实现标注了#[may_dangle] T，这个声明的含义是主动告诉编译器「我保证我的Drop实现不会访问已经销毁的T，可以取消默认的生命周期约束」。

• 代码2没有加PhantomData<T>：编译器认为MyBox不持有T的所有权，因此完全取消了生命周期约束，顺利编译通过。但实际上你的Drop实现调用了Box::from_raw销毁了T，而T中持有的x的引用比MyBox更早销毁，因此出现UAF。
• 代码3加了PhantomData<T>：编译器识别到MyBox实际持有T的所有权，哪怕你标注了#[may_dangle]，依然会强制要求T的生命周期长于MyBox，因此检测到x的生命周期短于_b时直接报错，阻止了UAF的出现。

代码4编译通过且存在UAF的原因 #

你添加了生命周期参数'a和PhantomData<&'a mut T>，这个标记本身的语义是要求'a不短于World的生命周期，但你没有通过构造函数将裸指针和生命周期'a绑定：你直接手动将&mut v转换为裸指针赋值给ptr，这个过程完全绕过了生命周期检查，编译器无法将ptr指向的变量和'a建立关联，自然不会触发约束校验。
如果你补充如下构造函数，再通过构造函数创建World实例，编译器就会正常执行生命周期检查，阻止非法赋值：

impl<'a, T: Debug> World<'a, T> {
    fn new(r: &'a mut T) -> Self {
        World {
            ptr: r as *mut T,
            _marker: PhantomData
        }
    }
}

内容的提问来源于stack exchange，提问作者EvanL00