• 消除函数签名的 unsafe 限制：
  • 不要在导出的函数签名上写 pub unsafe extern "C" fn（这会导致 Rust 内部框架判定为类型不匹配）。
  • 正确做法：写成普通的 pub extern "C" fn，将所有的不安全操作（如指针解引用、transmute）牢牢锁在函数体内部的 unsafe { ... } 块中。
• 指针判空的“地道”写法语意：
  • 摒弃 C 语言思维的 input != std::ptr::null_mut()。
  • 一律采用 Rust 标准、纯安全的 !input.is_null() 或 state.is_null() 表达式，避免低版本 Rust引发类型推导歧义。
• 应对 cbindgen 类型冲突的“两全其美”方案：
  • 面临冲突：当你扩展一个已有的老函数，为了迎合全新的 Rust框架规范而不得不修改参数类型（如 u8 改 i32，*mut 改 &mut），这会导致 cbindgen 刷新 C 头文件，进而引发历史 C 侧老代码全面崩溃。
  • 解决方案一（零侵入包装模式）：原版导出函数一字不改。在旁边编写一个不带 #[no_mangle] 属性的普通 Rust 内部函数（cbindgen 会自动忽略），在内部做好类型强转（如 res as i32），专门挂载给 RustHandler 回调使用。
  • 解决方案二（类型别名欺骗）：在 Rust 侧使用 type NuclearPowerPtr = *const core::NuclearPower; 完美对接 Rust侧回调的强类型检查，同时在 cbindgen.toml 中配置 [export.rename] "NuclearPowerPtr" = "NuclearPower *"，强行在 C 侧生成不带 const 的纯净指针，完美实现两端不改代码的闭环对齐。

struct SpaceShipState {
    fuel: u32,
}

fn main() {
    let mut ship = SpaceShipState { fuel: 100 };

    // 1. 可变引用：安全、独占
    let r1: &mut SpaceShipState = &mut ship;
    r1.fuel = 90; // 正常修改
    // let r2: &mut SpaceShipState = &mut ship; // ❌ 报错！Rust 不允许同时存在两个可变引用

    // 2. 裸指针：不安全、允许重复创建
    let p1: *mut SpaceShipState = &mut ship;
    let p2: *mut SpaceShipState = p1; // ✅ 合法！可以复制多个裸指针

    // 使用裸指针修改数据必须用 unsafe
    unsafe {
        (*p1).fuel = 80; 
        println!("当前燃料: {}", (*p2).fuel);
    }
} // ship 在这里被释放，但 p1 和 p2 依然指向这个地址（变成危险的野指针）

• &mut (可变引用)：Rust 编程的绝大多数（99%）场景。只要在纯 Rust 环境下编写常规代码，都应该用它。
• *mut (裸指针)：仅用于底层开发。例如：与 C/C++ 代码交互（FFI）、编写操作系统/嵌入式驱动、或者在标准库底层手动操作内存（如实现自定义的链表或 Vector）。

在 Rust 中，要消除裸指针（*mut）带来的野指针（悬垂指针）风险，核心逻辑是：永远不要让裸指针的生命周期超过它所指向的数据的生命周期。

以下是具体、高效的解决方案：

1）. 严格限制裸指针的生命周期

不要定义全局或长寿命的裸指针。将裸指针的创建和使用限制在一个局部的代码块（Block）或函数中，确保在数据被释放前，裸指针就已经用完并失效。

fn main() {
    let mut ship = SpaceShipState { fuel: 100 };

    // 用花括号限制指针的作用域
    {
        let p1: *mut SpaceShipState = &mut ship;
        let p2: *mut SpaceShipState = p1;

        unsafe {
            (*p1).fuel = 80;
        }
    } // p1 和 p2 在这里离开作用域并失效

    // 此时 ship 依然安全有效，可以在后续继续安全使用
    println!("Ship fuel: {}", ship.fuel); 
} // ship 在这里才安全释放

2）. 使用完毕后显式清空（置为 Null）

裸指针本身没有析构函数（Drop），它不会自动变空。为了防止后续误用，可以在用完后手动将其赋值为 core::ptr::null_mut()。在 unsafe 块中解引用前，先检查其是否为空。

use core::ptr;

fn main() {
    let mut ship = SpaceShipState { fuel: 100 };
    let mut p1: *mut SpaceShipState = &mut ship;

    unsafe {
        if !p1.is_null() {
            (*p1).fuel = 80;
        }
    }

    // 用完立刻置空，消除野指针隐患
    p1 = ptr::null_mut(); 
}

3）. 如果数据在堆上：转回 Box 手动释放

如果你的飞船数据是通过 Box::into_raw 分配在堆内存（Heap）上的，它永远不会自动释放。为了防止内存泄漏和野指针，必须在用完后使用 Box::from_raw 将其转回安全引用，触发自动释放。

fn main() {
    // 在堆上分配内存，并解绑所有权，拿到裸指针
    let p1: *mut SpaceShipState = Box::into_raw(Box::new(SpaceShipState { fuel: 100 }));
    let p2: *mut SpaceShipState = p1;

    unsafe {
        (*p1).fuel = 80;
    }

    // 必须安全地回收堆内存，否则就是内存泄漏+野指针
    unsafe {
        // 重新包装成 Box，离开作用域时会自动触发 drop 释放内存
        let _reclaimed = Box::from_raw(p1); 
    } 
    // 此时 p1 和 p2 彻底失效，不能再被访问
}

4）. 终极方案：重新拥抱安全引用 &mut

裸指针本身不带生命周期标签（Lifetime）。如果你希望编译器帮你检查野指针错误，应该在必要时立刻通过 as_mut() 将裸指针转回安全的可变引用 &mut。

fn main() {
    let mut ship = SpaceShipState { fuel: 100 };
    let p1: *mut SpaceShipState = &mut ship;

    unsafe {
        // 瞬间将裸指针转为带生命周期绑定的安全引用
        if let Some(ship_ref) = p1.as_mut() {
            // 在这个 if 块内，编译器会严格保护 ship_ref 不会变成野指针
            ship_ref.fuel = 80; 
        }
    } 
}