Rust 中安全使用 unsafe 代码块的核心是将不安全操作限制在最小作用域内，并通过安全抽象层对外暴露接口。适用场景包括 FFI 交互、底层内存操作或性能关键路径，风险边界在于必须手动保证内存安全不变量，否则会导致未定义行为。

快速处理思路

如果没有必须使用 unsafe 的场景，优先寻找安全 Rust 的替代方案。如果必须使用，遵循以下检查清单：

• 确认操作是否属于五种允许的特权操作（解引用裸指针、调用 unsafe 函数等）
• 将 unsafe 块缩小到仅包含必要操作的行数
• 在 unsafe 块外进行所有可能的边界检查和条件验证
• 对外暴露的函数签名不包含 unsafe 关键字，内部封装 unsafe 逻辑

为什么会这样

unsafe 关键字不关闭编译器检查，而是转移安全责任。它允许解引用裸指针、调用 unsafe 函数、访问可变静态变量、实现 unsafe trait 和访问 union 字段这五种操作，这些操作编译器无法静态验证安全性。开发者必须手动确保指针有效、非空、对齐且不存在数据竞争，否则程序会出现未定义行为。

分步处理

按照以下步骤构建安全的 unsafe 抽象：

1. 最小化作用域：只在必要行使用 unsafe 块，不要在整个函数上标记 unsafe。将边界检查放在 unsafe 块之外的安全代码中。
2. 编写安全注释：在 unsafe 块或函数上方使用 // SAFETY 注释，明确说明为什么这段代码是安全的，列出了哪些不变量。
3. 封装抽象：对外提供 safe API，内部处理 unsafe 操作。确保调用方无需理解底层 unsafe 细节即可安全使用。
4. 维护不变量：确保裸指针指向已初始化的合法内存，生命周期有效，且多线程环境下无数据竞争。

怎么验证是否生效

使用 Rust 官方提供的 Miri 解释器检测未定义行为。在终端运行 cargo miri test 命令，检查是否有内存错误或数据竞争报告。同时编写单元测试覆盖边界条件，确保 safe 接口在各种输入下不会触发内部 unsafe 逻辑的崩溃。

常见坑

• 悬垂指针：确保指针指向的内存未释放，避免访问已 drop 的对象。
• 数据竞争：多线程访问可变静态变量或裸指针时需使用原子操作或锁同步。
• 未初始化内存：读取未初始化内存会导致未定义行为，必须确保内存已正确初始化。
• 对齐问题：解引用裸指针时需确保内存对齐符合类型要求，或使用 read_unaligned 处理非对齐数据。

常见问题

unsafe 块会禁用借用检查器吗

不会，unsafe 块内借用检查器仍工作，但允许绕过某些限制如解引用裸指针。

什么时候必须用 unsafe

FFI 调用、操作裸指针、实现 unsafe trait 或访问可变静态变量时必须使用。

如何证明 unsafe 代码是安全的

通过 SAFETY 注释文档化前提条件，并使用 Miri 工具和代码审查验证不变量。

参考来源

• Rust 避坑指南】Unsafe 不是法外之地！一文讲透生命周期与裸指针的安全边界
• 如何正确使用 unsafe 代码:Rustonomicon 实战经验分享
• Rust unsafe 代码安全编写指南
• Rust 内存安全与 Unsafe 编程规范：在刀尖上起舞的正确姿势
• Rust Reference 安全编程：内存安全与 unsafe 关键字的正确使用方法
• Rust 中 Unsafe 代码的安全使用准则-CSDN 博客
• Rust 不安全代码:Easy Rust 教你安全使用 unsafe 块
• 深入 Unsafe Rust:何时以及如何安全地使用它
• Rust Unsafe 代码的安全使用准则：在性能与安全间的精确平衡
• Rust Unsafe 代码的安全使用准则：从理论到实践