01 一纸合入，七年磨剑
2026年4月，Linux 7.0-rc1 的合并窗口落下帷幕，一个里程碑式提交静静出现在主线仓库——Rust 支持的“实验”标签被移除，标志着 Rust 成为 Linux 官方核心开发语言之一。这不是一朝一夕的冲动决定，而是自2019年 Rust for Linux 项目启动以来，数千次补丁、无数社区争论、以及内核维护者艰苦审查后水到渠成的结果。
记得2021年我初次尝试在内核模块里用 Rust 写一个简单的字符设备驱动时，还得手打 make LLVM=1 rustavailable 测试环境，编译链三天两头报错，文档也残缺不全。那时心里嘀咕：这玩意真能进主线？没想到五年后，它不仅进了，还拿到了“永久居留权”。
如今，Rust 在 Linux 内核中主要承担新驱动开发任务，尤其是那些与外设频繁交互、需要处理大量不可信输入的驱动——网卡、文件系统、USB 转串口等模块首当其冲。它的核心使命只有一个：用编译期的铁腕手段，将内存漏洞拒之内核门外。
02 为何非 Rust 不可？
要理解 Rust “转正”的分量，得先明白 Linux 内核最头疼的病根。
过去三十年，内核漏洞中约 65%～70% 与内存安全有关——缓冲区溢出、释放后使用（UAF）、空指针解引用……C 语言 给了开发者最大的自由，也给了攻击者最宽的漏洞入口。每发现一个内核级内存漏洞，轻则系统崩溃，重则本地提权、容器逃逸，云计算厂商的共享宿主机因此彻夜难眠。
Rust 的所有权系统和借用检查器在编译阶段就把这类错误堵死了。你不需要手动 free 缓冲区，编译器会精确追踪每一块内存的生命周期；你不可能无意间让两个指针同时修改同一片数据，因为所有权规则会在代码成形前就亮起红灯。
我曾在一个个人项目里，故意用 C 写了段有 UAF 的内核模块，让它在卸载后仍然被定时器回调访问——系统当场内核 panic。同样的逻辑用 Rust 重构，cargo build 直接报错：“borrow of possibly-dropped value”，连编译都过不去。那一刻我才真正体会到，Rust 不是在运行时兜底，而是在源头掐灭火苗。这种“预防医学”式的安全模型，正是内核社区苦苦寻觅的解药。
03 对普通开发者意味着什么？
你可能会问：我不写内核驱动，这事儿跟我有关系吗？
关系很大。Linux 驱动质量的提升会直接传导到每一个 Linux 用户——你的路由器不会三天两头重启、NAS 存储数据不易因驱动 bug 损坏、云服务器因内存漏洞被打穿的几率大幅下降。而如果你是一名嵌入式或驱动开发者，Rust 的入局将深刻改变你的工作流：
- 学习成本换取长期收益：前期要啃下所有权、生命周期等概念，但一旦上手，调试内核 oops 的时间会指数级下降。
- 驱动编写更像“搭积木”：内核提供的 Rust 抽象层把 C 语言里那些容易出错的
kmalloc、copy_from_user 包装成安全接口，你只需关注业务逻辑。
- 驱动可以跨版本无缝升级：Rust 的强类型和稳定 ABI 约束，让同一份驱动源码在 Linux 7.0、7.1 甚至 8.x 上编译通过的概率远高于 C 驱动。
04 动手试试：写一个 Rust 驱动有多简单？
光说不练假把式。下面我以一个极简的 “Hello World” 内核模块为例，让你直观感受 Rust 驱动的开发步骤。（示例基于 Linux 7.0 环境）
第一步：环境准备
# 安装 Rust 工具链及内核编译依赖
rustup override set 1.85.0
rustup component add rust-src
sudo apt install clang lld llvm
第二步：创建模块骨架
在内核源码树的 samples/rust/ 下新建 rust_hello.rs：
// SPDX-License-Identifier: GPL-2.0
//! 极简 Rust 内核模块示例
use kernel::prelude::*;
module! {
type: RustHello,
name: "rust_hello",
author: "Your Name",
description: "A simple Rust driver",
license: "GPL",
}
struct RustHello;
impl kernel::Module for RustHello {
fn init(_module: &'static ThisModule) -> Result<Self> {
pr_info!("Rust 模块已加载！内存安全守卫报到。\n");
Ok(RustHello)
}
}
impl Drop for RustHello {
fn drop(&mut self) {
pr_info!("Rust 模块卸载，无内存泄漏，干净！\n");
}
}
第三步：编译与加载
在 samples/rust/Kconfig 中添加对应选项，重新配置内核编译：
make LLVM=1 menuconfig
# 勾选 Kernel hacking -> Sample kernel code -> Rust samples -> Hello World
make LLVM=1 -j$(nproc)
编译完成后，生成的 rust_hello.ko 就是可加载的 Rust 驱动模块：
sudo insmod samples/rust/rust_hello.ko
dmesg | tail -n 2
# 输出: Rust 模块已加载！内存安全守卫报到。
sudo rmmod rust_hello
dmesg | tail -n 1
# 输出: Rust 模块卸载，无内存泄漏，干净！
看到 Drop trait 的自动调用了吗？在 C 驱动里你需要手动在 module_exit 函数中释放资源，而 Rust 利用 RAII 模式，只要退出作用域，编译器就帮你生成清理代码。哪怕代码中途因错误提前返回，清理逻辑也绝对不会被跳过——这是传统 C 驱动很难保证的。
05 展望：Rust 会成为内核的“主流公民”吗？
短期看，C 语言仍是内核的绝对主角。数百万行核心代码（调度器、内存管理、文件系统核心）不会贸然重写，社区共识是新代码优先用 Rust，老代码维持现状。Rust 当前的主战场是驱动层——那里隔离性强、风险可控、收益明显。
但长远趋势已无法逆转。微软 Azure CTO 曾公开表示：“用 Rust 重写 Windows 内核组件后，相关漏洞数量下降了 70%。” Linux 社区显然也看到了这份成绩单。未来几年，我们大概率会看到：
- 更多关键驱动（NVMe、GPU 基础驱动）出现 Rust 版本。
- Rust 抽象层持续下沉，逐渐覆盖更多内核子系统 API。
- 驱动开发者招聘 JD 里，“熟悉 Rust”从加分项变成必备项。
于我而言，从 2021 年的“玩具项目”到今天的官方语言，Rust 在内核中的进化轨迹像极了一部热血漫——技术理想主义撞上工程现实的南墙，最终靠硬实力凿开一道光。作为普通开发者，在 云栈社区 的技术论坛也可以找到同好一起探讨，我们或许无力左右内核走向，但至少可以花一个周末，在虚拟机里跑通那个“Hello World”模块。毕竟，安全不是凭空降临的，它是每一行没有悬垂指针的代码堆积起来的。
创作声明：本文基于 Linux 7.0-rc1 主线合入事实撰写，示例代码为教学简化版，实际生产环境请参考内核文档 Documentation/rust/。文中主观体验部分为作者个人实践心得，不代表任何机构立场。
发表于 3 小时前
|
查看: 3|
回复: 0
