Rust中ptr::NonNull用于FFI是否合法？相关二进制特性是否有保障？

好问题！这其实是Rust FFI里一个挺常见的细节疑问，我来一步步给你拆解清楚：

1. 核心安全性结论：在FFI边界使用NonNull<T>是安全的，但有前提 #

NonNull<T>的设计初衷就是作为*mut T的非空安全包装，它的官方文档也明确标注了：这是一个#[repr(transparent)]的透明结构体——意味着它在内存布局上和内部包裹的*mut T完全一致。只要你能保证传入的指针确实符合非空要求（就像C接口里__attribute__((nonnull))约定的那样），用它对接C的非空指针接口是完全安全的。

2. 二进制表示、对齐与寄存器使用的一致性 #

关于你关心的几个关键点，答案都是完全一致：

• 二进制表示：忽略Option<NonNull<T>>的空指针优化（你已经排除了这个非FFI场景），NonNull<T>在内存里就是一个普通的指针值，没有额外的字节、标记或包装，和*mut T的二进制完全相同。
• 对齐方式：因为是透明包装，NonNull<T>的对齐要求完全继承自*mut T。比如C的char*和Rust的*mut c_char/NonNull<c_char>对齐规则完全匹配，不会出现对齐不兼容的问题。
• 寄存器使用：在调用约定层面，编译器会把NonNull<T>当作*mut T来处理——透明结构体的ABI和内部单一字段的ABI是完全一致的。所以不管是传参还是返回值，NonNull<T>和*mut T在寄存器里的处理方式没有任何区别。

3. 针对你给出的例子：完全可行！ #

你提到的场景：

• C端声明：void call_me_from_c(char *without_nulls) __attribute__((nonnull));
• Rust端实现：extern "C" fn call_me_from_c(without_nulls: ptr::NonNull<c_char>)

这是合法且安全的，原因如下：

• C的__attribute__((nonnull))只是给编译器的提示，声明该指针不会为空，并不会改变指针本身的二进制表示或ABI；
• Rust的NonNull<c_char>在FFI边界会被编译器当作*mut c_char处理，和C的char*完全兼容。

不过要注意一个小细节：在Rust函数内部，你可以放心使用NonNull提供的安全方法（比如as_ptr()）操作指针，但必须确保从C传入的指针确实符合NonNull的要求——非空、对齐、指向有效的内存（这其实是C接口本身的约定，和NonNull的使用无关）。

额外提醒 #

虽然NonNull在FFI场景下安全，但不要滥用：

• 如果C接口允许空指针，那你应该直接用*mut T，不要用Option<NonNull<T>>暴露给C——Option<NonNull<T>>的空指针优化是Rust内部的实现细节，C并不知晓，直接传空指针到这类参数会导致未定义行为；
• 即使在FFI场景下，也要始终遵守Rust的内存安全规则，确保对指针的操作是合法的。

内容的提问来源于stack exchange，提问作者Kornel