• 解引用裸指针（Raw Pointers: *const T / *mut T）。
• 调用 unsafe 函数或通过 FFI（Foreign Function Interface） 调用外部 C/C++ 库。
• 实现 unsafe 特质（Trait），如 Send 和 Sync。
• 访问或修改可变静态变量（Mutable Static Variables）。
• 访问 union（联合体）的字段：读取字段是绝对不安全（Unsafe）的。。

• Soundness 的核心定义：如果一个库/函数对外暴露了纯安全（Safe）的接口，但在其内部包含了 unsafe 代码，且无论外部用户传入任何稀奇古怪的合法参数，都绝对无法触发未定义行为（Undefined Behavior, UB），那么这段代码就是 Sound（完备且健全的）。
• 工程证明方法：
  • Safety Documentation（安全注释）：在每个 unsafe 块上方，必须编写 // SAFETY: 规范注释，逐条列出该块如何满足其底层操作的前置条件（Preconditions）。
  • Miri 静态/动态检查：在持续集成（CI）中运行 Rust 官方的 Miri 工具。Miri 是一个抽象语法树（AST）解释器，能在运行时捕捉到由于借用检查失效（Stacked Borrows / Tree Borrows 模型）、指针越界或内存对齐错误引发的隐藏 UB。

// 这是一个极其危险的函数，对外伪装成了 Safe 接口，但它是 Unsound 的！
pub fn unsound_slice_get<T>(slice: &[T], index: usize) -> &T {
    // ❌ 错误：没有任何边界检查（Bounds Check），对外隐藏了底层前置条件
    unsafe {
        // 解引用偏移后的裸指针，若 index 越界，直接引发 Undefined Behavior (UB)
        &*slice.as_ptr().add(index)
    }
}

fn main() {
    let data = vec![1, 2, 3];
    // 外部用户以为这是安全的函数，结果传入了越界的索引 100
    // 编译完全通过，但运行时会读取野内存或直接引发段错误（Segmentation Fault）
    let _val = unsound_slice_get(&data, 100); 
}

• 官方术语定义：Cow 是 Copy-on-Write（写时复制） 的智能指针。它是一个枚举（Enumeration），包含两个变体：Borrowed(&'a B) 和 Owned(<B as ToOwned>::Owned)。
• 零拷贝与延迟分配：在处理网络协议解析、路径清理或非法字符过滤时，如果输入数据大概率不需要修改，Cow 会直接包裹 Borrowed 变体，保持零拷贝（Zero-copy）的高性能。只有当真正遇到需要修改数据的极少数情况时，它才会惰性地触发 to_mut()，在堆上分配内存并克隆数据（转换为 Owned 变体）。

• 对齐冲突隐患：网络字节流（如 &[u8]）在内存中的起始地址通常是 1 字节对齐的。而 Rust 中的结构体（如包含 u32 或 u64 字段的结构体）通常要求 4 或 8 字节对齐。如果使用 unsafe 强行将 *const u8 转换为结构体指针并解引用，在某些 CPU 架构上会直接引发硬件层面的对齐异常（Alignment Fault / Bus Error），在 x86 架构上也会导致严重的性能惩罚。
• 解决方案：
  • 使用不透明的、对齐要求为 1 的字节数组，配合结构体的 #[repr(packed)] 属性，强制编译器取消对齐填充。
  • 现代 Rust 更推荐使用安全且不损失性能的官方生态库，如 zerocopy 或 bytemuck，它们利用派生宏在编译期验证类型的 Alignment 和 Validity Constraints（有效性约束）。

use std::borrow::Cow;

// 1. Cow 的正确优化示范：过滤敏感词
fn sanitize_log<'a>(log: &'a str) -> Cow<'a, str> {
    if log.contains("PASSWORD") {
        // 只有包含敏感词时，才发生堆内存分配（Owned）
        Cow::Owned(log.replace("PASSWORD", "********"))
    } else {
        // 绝大多数情况下，保持零拷贝借用（Borrowed）
        Cow::Borrowed(log)
    }
}

// 2. ❌ 内存对齐的错误反例
#[repr(C)]
struct NetworkPacket {
    magic_number: u32, // 要求 4 字节对齐
    payload_len: u16,
}

fn parse_packet(raw_bytes: &[u8]) -> &NetworkPacket {
    // 假设从网络读取的字节流起始地址刚好是奇数（例如 0x...01），不满足 4 字节对齐
    let ptr = raw_bytes.as_ptr() as *const NetworkPacket;
    
    // ❌ 错误：由于 raw_bytes 可能未对齐，直接解引用会导致 Undefined Behavior
    unsafe { &*ptr } 
}

fn main() {
    let log_input = "System initialized successfully.";
    let _optimized = sanitize_log(log_input); // 此时无任何内存拷贝

    // 构造一个未对齐的字节数组（通过偏移 1 字节来模拟不满足 4 字节对齐的原始网络流）
    let buffer = [0u8; 10];
    let misaligned_slice = &buffer[1..7]; 
    
    // 强行解析将埋下对齐崩溃的隐患
    let _packet = parse_packet(misaligned_slice); 
}

• 初阶开发者：能熟练使用 String、Vec，但对 Move 的栈拷贝、Sync 约束含糊其辞。
• 中阶开发者：深刻理解所有权和类型系统，能熟练运用 Deref、thiserror 和 dyn Trait 编写高质量工程代码。
• 高阶系统级开发者：掌握 Pin/Unpin 底层状态机，能在高并发下应对取消安全与锁毒化，在 Unsafe 边界上精通 Miri 检查与内存对齐调优。