【Rust日报】2026-07-28 Safety in an Unsafe World：Netstack3 用类型系统把“buggy programs don’t compile”推到协议正确性
内容提要
本文总结了Rust在系统软件中的应用：Netstack3网络栈通过类型系统将协议正确性前移至编译期，大幅降低bug率；Kata Containers 4.0默认运行时切换至Rust，强化容器沙箱；异步运行时基准测试显示性能依赖负载形态；手写arena教程详解unsafe内存管理。这些案例表明Rust能提升基础设施安全性与效率。
延伸解读
类型系统如何超越内存安全
Netstack3 的实践表明，Rust 的类型系统不仅能保证内存安全，还能将协议状态机、跨模块约束等业务不变量编码进类型和 API 设计中，使错误状态在编译期就被拒绝。这为基础设施项目提供了一种思路：将原本依赖 code review 和测试的正确性约束前移至编译期，从而显著降低运行时 bug 率。
运行时选择需匹配负载特征
Tokio、Smol、Glommio 的 90 组对比实验显示，work-stealing 与 executor-per-thread 各有优劣，性能高度依赖负载形态。在 CPU 密集、流量均匀时，executor-per-thread 的本地缓存和低同步开销带来更稳的尾延迟；而在 IO 密集、任务不均衡时，work-stealing 的全局调度更占优势。因此，运行时模型应作为架构选择的一部分，而非默认统一。
Unsafe 的边界与责任
手写 arena 教程揭示了 unsafe 在 Rust 中的实际应用场景：当需要同时支持不同类型、多个可变引用和动态对象 drop 时，必须自行管理 raw buffer、对齐和内部可变性。这并非黑魔法，而是明确何时需要接管编译器原本保证的部分。理解这些边界，有助于在内存池、ECS 等场景中安全地使用 unsafe。
Q&A
Netstack3 网络栈在近一年的 dogfooding 中表现如何？
Netstack3 在近一年的大规模 dogfooding 中，只发现了 3 个 bug；上线后相比旧版 Netstack2，崩溃率降低了一个量级，内存占用也明显下降。
Netstack3 如何利用类型系统提升协议正确性？
Netstack3 将不变量、状态转换和抽象边界编进类型和 API 设计里，使外部安全代码无法构造出错误状态，从而将“buggy programs don't compile”从语言层扩展到系统设计层，把协议正确性前移到编译期。
Kata Containers 4.0 在运行时方面有什么重大变化？
Kata Containers 4.0 将 Rust 重写的运行时设为默认路径，老的 Go 运行时进入弃用通道，保留到 5.0 且不再接收新特性。
Kata Containers 4.0 支持哪些架构和 hypervisor？
Kata Containers 4.0 的默认 Rust 运行时支持 x86_64、aarch64、s390x 架构，并支持 QEMU、Cloud Hypervisor 以及 Rust 写的 Dragonball hypervisor。
根据基准测试，Tokio 的 work-stealing 和 executor-per-thread 模式在什么情况下各有优势？
在流量分配均匀、CPU 密集的场景下，executor-per-thread 模式因本地缓存命中和少同步开销，尾延迟更稳定；在 IO 密集、任务分布不均衡时，work-stealing 的全局调度可能更占优势。
手写 Rust arena 的文章中，为什么最终需要用到 unsafe？
因为要支持不同类型、多个可变引用以及正确 drop 动态对象，需要自己维护 raw buffer、对齐、cursor、slot 元数据，以及使用 UnsafeCell 实现内部可变性，这些操作超出了 Rust 安全代码的能力范围，所以必须使用 unsafe。
