Rust 进入 Linux 内核：从 Rust-for-Linux 到正式子系统认可的工程全景

2022 年 9 月，Linus Torvalds 合并了 Rust-for-Linux 项目的初始支持代码，Linux 6.1 内核正式获得了 Rust 编译器前端基础设施。这不是一次简单的语言跨界，而是操作系统内核——这个对正确性、性能与硬件控制权要求最严苛的领域——在四十年来首次接纳除 C 之外的系统编程语言。

本文将从工程实战角度剖析：Rust 在内核上下文中的真实能力边界、已有驱动与子系统的落地状态、与 C 内核代码的 FFI 互操作机制，以及未来 3-5 年内 Rust 可能重塑内核开发的路径。

一、为什么是 Rust：C 内核面临的真实安全债务

Linux 内核代码库约 3000 万行 C 代码，每年新增约 3000 个 CVE。粗略统计显示，内核漏洞中约 65-70% 源于内存安全问题——缓冲区溢出、Use-After-Free、Double-Free、数据竞争。这些正是 Rust 在语言层面消除的整类缺陷。

内核社区的共识并非\"用 Rust 重写内核\"，而是\"新的驱动与子系统可以用 Rust 编写，旧的 C 代码维持现状\"。这一策略避免了灾难性的重写风险，同时将安全边界前移到新代码的编写阶段。

从 Rust-for-Linux 项目启动（2020）到进入主线（2022），关键推动力来自三个方向：

• Android Binder IPC 驱动：年久失修的高危代码库，Google 希望用 Rust 重写
• AWS Nitro Enclaves 与 Graviton 平台：对 hypervisor 内安全代码的需求
• Microsoft Azure：Drivers for Windows 已在用 Rust，向内核扩展是自然选择

二、内核 Rust 的基础设施架构

进入主线的 Rust 支持并非简单加一个编译器开关，而是一整套基础设施：

2.1 编译内核态 Rust 代码

  --------------------------------------------------  |            Rust 源码 (foo.rs)                     | |   #[::kernel::module]                             | |   struct FooDriver { ... }                        |  ---------------- ---------------------------------                   |                  v  --------------------------------------------------  |       rustc (带 --emit=obj 和自定义 target)       | |  目标: x86_64-unknown-linux-kernel               |  ---------------- ---------------------------------                   |                  v  --------------------------------------------------  |   内核自定义 rustc 后端 (compiler_builtins 适配)   | |  - 替换 alloc  allocator → kmalloc/vmalloc       | |  - 替换 panic handler → kernel panic 流程        | |  - 禁用 std → 只留 core   alloc   kernel crate   |  ---------------- ---------------------------------                   |                  v  --------------------------------------------------  |   目标文件 (.o) 与调试信息 → 链接进 vmlinux       |  --------------------------------------------------  

关键差异：内核 Rust 不使用标准库（no_std），而是依赖两个 crate：

• core：无需操作系统支持的基础类型与 trait
• alloc：需要全局分配器的集合类型与智能指针（Box, Vec, Arc）
• kernel：由 Rust-for-Linux 项目维护，封装内核 API 的安全绑定

2.2 kernel crate 的核心抽象

kernel crate 提供的关键抽象机制：

 // 模块宏替代 C 的 module_init/module_exit kernel::module! {     type: FooDriver,     name: \"foo_driver\",     author: \"Example Author\",     description: \"Example Rust kernel module\",     license: \"GPL\", }  // 设备注册抽象 kernel::device::DriverRegistration  // 错误处理：将 C 的负数 errno 映射为 Rust 的 Result