Rust安全响应团队发现Cargo在处理来自第三方注册表的crate tarballs中的符号链接时存在漏洞（CVE-2026-5223），可能导致恶意crate覆盖同一注册表中其他crate的源代码。使用crates.io的用户不受影响，因为该平台禁止上传包含符号链接的crate。Rust 1.96.0将于2026年5月28日发布，更新Cargo以拒绝提取任何符号链接。建议无法升级的用户审查注册表内容并配置拒绝符号链接。

Rust安全响应团队发现Cargo在使用稀疏索引协议时错误地规范化第三方注册表的URL，导致潜在的凭证泄露。该漏洞被标记为CVE-2026-5222，严重性较低。Rust 1.96版本将修复此问题，旧版本用户无可用补救措施。

cargo-nextest是Rust生态系统中的下一代测试运行器，旨在加速Rust测试执行，特别适用于大型项目和复杂集成测试。它提供更快的测试速度和更好的可观察性，帮助开发者识别慢测试和不稳定测试。RustRover 2026.1版本已支持cargo-nextest，允许开发者在IDE中直接运行和监控测试。

RustRover 2026.1版本增强了开发者体验，新增对cargo-nextest的原生支持，允许在IDE中快速运行和监控测试，提升测试速度和可靠性。

Rust安全响应团队发现第三方库tar存在漏洞CVE-2026-33056，该漏洞允许恶意库在构建时更改文件系统目录权限。3月13日，Rust团队针对公共crates.io注册表进行了修复，确保未发现利用该漏洞的库。Rust 1.94.1将于2026年3月26日发布，更新tar库以修复此漏洞。感谢Sergei Zimmerman及其他团队成员的支持。

Cargo团队欢迎用户测试新的构建目录布局（-Zbuild-dir-new-layout），旨在改善构建工件的组织方式并支持项目更新。用户可通过设置CARGO_BUILD_BUILD_DIR来验证新布局。团队希望此次布局变更能指导未来的布局调整，减少项目对构建目录细节的依赖。

Rust团队发布了新版本1.94.0，新增了array_windows方法，支持固定长度切片迭代。同时，Cargo支持配置文件中的include键，便于管理项目配置，并解析TOML v1.1，改进了依赖项的书写方式。

Cargo 1.94开发周期总结：插件cargo-edit已合并，支持编辑Cargo.toml文件；更新了构建目录布局和锁定机制，改进了日志记录；TOML 1.1规范已发布并被Cargo支持；讨论了工作区和配置发现的改进，鼓励用户参与Cargo的改进。

《LLVM 糟糕的一面》分析了LLVM的缺陷，如审查能力不足、频繁改动和技术设计缺陷。作者呼吁更多开发者参与代码审查，以提高代码质量和稳定性。

本文分析了Rust生态系统的安全性，使用cargo-deny工具审核crates.io包，发现约23.7%的包存在安全漏洞，表明依赖关系越多，脆弱性风险越高。此外，文章还介绍了Rust的新特性及Rapier物理引擎的性能优化计划，2026年将重点支持机器人学和GPU物理。

文章分析了Linux内核漏洞的潜伏期，平均为2.1年，最长可达20年。作者开发的AI模型VulnBERT能有效预测代码漏洞，召回率达到92.2%。安全工具的进步加快了漏洞发现速度，从2010年几乎无漏洞被发现，到2022年已达到69%。

Cargo 1.93开发周期总结介绍了插件cargo-override的管理功能，改进了错误信息和诊断，讨论了依赖项的linting和构建目录布局，强调了社区贡献的重要性。

文章探讨了Rust错误处理设计，强调应关注错误的实际用途而非简单转发。建议错误应扁平化、可行动并提供上下文，以便机器自动恢复和人类调试。指出现有方案不足，提出改进方法，强调设计契约的重要性，旨在提升错误处理的有效性和可读性。

Cargo 1.92开发周期总结强调了插件的重要性，介绍了cargo-wizard插件。讨论了构建性能指南、Cargo脚本稳定化和公共依赖更新，提出了优化和验证的挑战。新构建目录布局旨在减少文件冲突，团队计划逐步实施这些变更。