Linux 内核 70% 的漏洞是内存安全问题。Rust 的所有权系统能在编译时消除这些 bug——但把 Rust 引入 30 年历史的 C 代码库，代价是什么？

一、先看图

flowchart TD
    RUST[Rust 代码<br/>驱动/模块] --> ABS[Rust 抽象层<br/>kernel crate]
    ABS --> C_API[C 内核 API<br/>bindgen 生成]
    C_API --> KERNEL[Linux 内核<br/>C 代码]

    classDef rust fill:#f0883e22,stroke:#f0883e,color:#adbac7;
    classDef c fill:#388bfd22,stroke:#388bfd,color:#adbac7;
    class RUST,ABS rust
    class C_API,KERNEL c

二、时间线

三、架构

3.1 kernel crate

use kernel::prelude::*;

module! {
    type: MyModule,
    name: "my_module",
    license: "GPL",
}

struct MyModule;

impl kernel::Module for MyModule {
    fn init(_module: &'static ThisModule) -> Result<Self> {
        pr_info!("Hello from Rust!\n");
        Ok(MyModule)
    }
}

3.2 unsafe 边界

// 安全抽象包裹 unsafe C 调用
pub fn alloc_pages(order: u32) -> Result<Page> {
    // 内部调用 unsafe C API
    // 但对外暴露安全接口
}

原则：unsafe 集中在抽象层 → 驱动代码尽量全 safe。

四、Asahi GPU 驱动

Apple Silicon GPU 驱动 → 用 Rust 编写 → 最大的 Rust 内核驱动：

• 复杂的 GPU 状态机
• 内存管理
• 用户态接口

证明了 Rust 可以写真实的内核驱动。

五、解决的问题

六、挑战

6.1 工具链

• 需要特定版本的 rustc
• 不是所有架构都支持
• 编译时间增加

6.2 维护负担

C 内核开发者需要学 Rust → 社区分裂风险。

6.3 ABI 稳定性

Rust 没有稳定的 ABI → 模块需要与内核同一 rustc 版本编译。

6.4 抽象层维护

每个 C API 变更 → Rust 抽象层需要同步更新。

七、与 eBPF 中的 Rust

// Aya 框架
#[map]
static EVENTS: PerfEventArray<Event> = PerfEventArray::new(0);

#[kprobe]
fn my_probe(ctx: ProbeContext) -> u32 {
    // ...
}

Aya 让你用 Rust 写 eBPF 程序 → 编译时安全检查 + BPF verifier。

八、社区态度

• 支持者：内存安全值得投入
• 反对者：增加复杂性，C 够用
• 中立者：让代码证明自己

Linus Torvalds 支持引入 Rust → 但要求不强制 C 开发者学 Rust。

九、其他内核语言实验

十、小结

• Rust for Linux 解决内核 70% 的内存安全漏洞
• unsafe 集中在抽象层 → 驱动代码尽量 safe
• Asahi GPU 驱动证明了可行性
• 挑战：工具链、维护负担、ABI
• 长期趋势：新驱动用 Rust，旧代码保持 C

参考文献

• rust/ 目录（Linux 内核）
• Documentation/rust/
• Miguel Ojeda, “Rust for the Linux kernel.” 2022
• Asahi Linux GPU driver

工具

• rustc（nightly）
• bindgen
• make LLVM=1 rustavailable

上一篇：Unikernel 下一篇：机密计算