1. 这篇文章真正要解决的问题如果你最近关注过 Linux 内核的 release notes会发现一个有意思的信号这个被称为“C 语言最后的堡垒”的项目正在被 Rust 一点点撬动。从 6.1 版本开始Linux 内核主线正式引入了对 Rust 的支持。虽然早期的 Rust 支持还只是“能编译、能跑最小示例”的阶段但背后的意义却非常明确Linux 内核这个拥有 30 多年历史、代码量超过 3000 万行的庞然大物开始认真接纳一门新的系统编程语言。这篇内容不是要告诉你“Rust 即将取代 C”那是标题党的说法。我们要拆解的是下面几个问题为什么 Linux 内核宁愿承担巨大的迁移成本也要引入 RustRust 在内核开发中到底解决了什么痛点作为普通开发者如何快速上手 Rust 内核模块开发这件事对 C 语言开发者的职业判断有什么实际影响如果你正在学习 Rust或者对 Linux 内核开发感兴趣又或者只是好奇“C 语言是不是真的要被取代了”这篇文章值得读完。我们会从原理讲到实操最后给出一个最小可运行的 Rust 内核模块示例。2. 基础概念与核心原理2.1 为什么内核需要 Rust从“内存安全漏洞”说起先看一个数据背景。根据微软安全响应中心MSRC的统计从 2006 年到 2018 年微软产品中约 70% 的安全补丁都与内存安全漏洞有关。Google 的 Chrome 团队也公布过类似数据在 Chromium 的严重安全漏洞中内存安全问题占据了相当高的比例。什么是内存安全漏洞简单地说就是程序在访问内存时发生了越界、释放后使用、空指针解引用等问题。在 C 语言中这些问题大多数不会在编译时报错而是在运行时才暴露攻击者甚至可以利用这些漏洞执行任意代码。C 语言给开发者提供了极大的自由度指针想怎么用就怎么用内存想怎么申请就怎么释放。但自由是有代价的一旦开发者写错了边界条件编译器不会提醒而是会把这些错误原封不动地交给运行时。Linux 内核是 C 语言的大型项目常年维护着数千个已知的 CVE公共漏洞和暴露。其中相当一部分都是内存安全问题。可以说内核安全的关键问题就是内存安全。这也是 Rust 能进入内核的根本原因。2.2 Rust 解决安全问题的三条路径Rust 的安全性不是靠运行时垃圾回收也不是靠沙箱隔离而是靠在编译期完成的静态检查。具体有三个核心机制所有权Ownership每个值在 Rust 中都有一个唯一的所有者。当所有者离开作用域时值会被自动释放。这避免了悬空指针和双重释放问题。借用与生命周期Borrowing LifetimesRust 允许你临时借用值但借用规则在编译期就会被检查。你不可能在一个值已经被释放之后还持有它的引用因为编译器会报错。类型系统与零成本抽象Rust 没有运行时开销也没有垃圾回收器。它的抽象最终会被编译成和 C 几乎等价的机器码。这是它能进入内核的前提因为内核不允许任何额外的运行时开销。用一句话来概括C 语言把内存安全的责任交给了开发者而 Rust 把它交给了编译器。2.3 C 语言会被取代吗先做一个冷静判断先说结论C 语言不会在短时间内退出内核。但它的“独占地位”正在被改写。Linux 内核目前仍然是 C 语言绝对主导。巨大的历史代码库、成熟的工具链、开发者群体、驱动生态都绑定在 C 上。把这些全部重写为 Rust 是不现实的也没有必要。更可能的演化路径是新代码优先选择 Rust老代码继续用 C二者长期共存。对于安全敏感的模块比如文件系统、网络协议栈、驱动Rust 会成为优先选项。这就像一座老房子你不会把承重墙全部拆掉但新装的电路和管道会采用更安全的材料。维度C 语言Rust内存安全依赖开发者自律容易出错编译器静态检查从根本上防止运行时开销几乎为零几乎为零无 GC学习曲线相对平缓指针需要时间陡峭所有权和生命周期需要理解编译速度很快相对较慢内核生态成熟度极高几十年积累刚起步还在演进适合场景存量代码、底层驱动、对编译速度敏感的场景新模块、安全关键路径、复杂并发逻辑这个对比不是想证明 Rust 全面优于 C而是更准确地说明两者解决的是不同阶段的问题。C 解决了“如何让计算机高效运行”Rust 解决了“如何让系统级代码在高效运行的同时不把安全漏洞留给后人”。3. Rust 进入 Linux 内核的来龙去脉3.1 一段持续多年的“讨论”关于 Rust 进入内核的争议其实比很多人想象的更早。早在 2019 年前后Linus Torvalds 在一些公开场合就对 Rust 表达过“不排斥”的态度但真正推动这个项目落地的是 Philip Herrmann、Alex Gaynor 和 Wedson Almeida Filho 等开发者发起的 Rust for Linux 项目。2022 年这个问题变得非常现实。Rust for Linux 项目向内核邮件列表提交了大量补丁希望能在内核中加入对 Rust 的一级支持。这一步并不顺利开发者之间的争论非常激烈。反对者主要担心Rust 编译器依赖 LLVM增加了内核编译链复杂度。新语言会拉高内核贡献者的准入门槛。与 C 之间的 FFI 边界存在安全风险。支持者则认为内核长期面临的内存安全问题已经足够严重即使 Rust 只能覆盖一小部分模块也能减少大量高危漏洞。最终Linus 拍板在 Linux 6.1 版本中合并了 Rust 的基础支持。3.2 “妥协”的说法准确吗很多媒体喜欢用“Linux 之父妥协了”这个说法。从新闻角度看确实抓人眼球但从技术角度看“妥协”这个词不够准确。Linus 并不是因为年龄增长而变得保守或激进他在这个决策上表现得很务实。他认可的不是 Rust 这个“名字”而是它能够解决实际问题的能力。从邮件列表的讨论纪录看Linus 同时批评过 Rust 社区的一些极端言论也表达过对 C 老将们的理解。最终他选择的是在不破坏现有代码的前提下让新工具进入内核。所以更准确的说法是Linux 之父选择了一套能降低内核安全风险的工程方案而不是单纯地对一门语言“妥协”。3.3 当前内核支持 Rust 的真实状态截至本文撰写时Linux 内核主线已经包含rust/目录提供基础设施、核心抽象层如kernelcrate、示例驱动以及针对部分架构的支持。但要注意Rust 支持目前仍被视为“实验性”功能不是每个架构都有完整支持。大量子系统如文件系统、网络、驱动框架等的 Rust 绑定还在持续开发中。“官方推荐使用 Rust”还不算但方向已经明确。用一句话概括Rust 已经进了门但距离“全面铺开”还有很长一段路。4. 环境准备与前置条件如果你已经决定动手写一个 Rust 内核模块第一步不是写代码而是搭建环境。这一部分有很多细节新手容易踩坑。4.1 操作系统与内核版本推荐使用较新的 Linux 发行版。Ubuntu 22.04 及以上、Fedora、Arch Linux 都可以。内核版本方面建议直接使用 6.1 及以上版本这样可以直接利用内核内置的 Rust 支持。查看当前内核版本uname -r如果版本低于 6.1建议先升级内核或者使用发行版提供的较新内核包。4.2 Rust 工具链内核中的 Rust 版本要求比较严格。建议安装 Rust 官方工具链并使用与你的内核版本匹配的 rustc 版本。rustup 是官方推荐的工具链管理器curl --proto https --tlsv1.2 -sSf https://sh.rustup.rs | sh source $HOME/.cargo/env安装完成后确认 rustc 和 cargo 是否可用rustc --version cargo --version这里需要特别提醒不要使用最新版 rustc也不要使用过旧的版本。Linux 内核的rust/目录下有rust-toolchain.toml或其他版本锁定文件直接查看并安装对应版本即可。rustup toolchain install 版本号如果网络不太通畅可以配置国内镜像源。rustup 支持设置环境变量来切换下载源export RUSTUP_DIST_SERVERhttps://rsproxy.cn export RUSTUP_UPDATE_ROOThttps://rsproxy.cn/rustup4.3 与内核编译相关的依赖以 Debian/Ubuntu 为例需要安装以下基础依赖sudo apt update sudo apt install build-essential flex bison dwarves libssl-dev libelf-dev clang llvm这里说明一下clang和llvm用于生成 Rust 的位和 LLVM 位bitcode而内核的 Rust 支持依赖 LLVM 工具链。即使你平时不用 clang 编译内核也要安装它来完成 Rust 支持。4.4 bindgen 与 libclangbindgen是内核 Rust 支持中非常重要的工具。它的作用是从 C 头文件自动生成 Rust FFI 绑定。内核编译时会自动调用 bindgen但你需要提前安装它的运行依赖。在 Ubuntu 上安装 libclangsudo apt install libclang-dev同时确保llvm-config在环境变量中可用。bindgen本身不需要手动安装内核构建系统会自己处理。4.5 配置内核编译参数进入内核源码目录后运行make LLVM1 defconfig然后启用 Rust 支持./scripts/config --enable RUST如果你希望编译 Rust 示例模块还要启用./scripts/config --enable SAMPLE_RUST_MINIMAL重新生成配置make LLVM1 olddefconfig这一套流程看起来简单但很容易因为缺少工具链选项而报错。如果报错信息提示缺少 Rust 支持优先确认两件事内核版本是否足够新、rustc版本是否与内核要求匹配。5. 核心流程拆解从零编写一个 Rust 内核模块5.1 创建模块目录与配置文件先说明一个基本概念内核模块的编译不是独立进行的它依赖内核源码树和构建系统。所以我们要先有完整的内核源码。你可以从内核官网下载最新稳定版源码也可以使用你自己仓库中的内核源码。在源码树的samples/rust/目录下新建一个模块目录或者直接使用已有的示例目录。这里假设我们创建samples/rust/hello_rust/。目录下需要两个核心文件Kconfig和Makefile。Kconfig内容config SAMPLE_RUST_HELLO tristate Hello, Rust module depends on RUST help This is a minimal Rust kernel module example.Makefile内容obj-$(CONFIG_SAMPLE_RUST_HELLO) hello_rust.o这一步的目的告诉内核构建系统这个模块编译后应该生成hello_rust.ko并且它依赖于 Rust 支持。5.2 编写 Rust 内核模块代码在samples/rust/hello_rust/下创建hello_rust.rs// 文件路径samples/rust/hello_rust/hello_rust.rs use kernel::prelude::*; module! { type: HelloRust, name: hello_rust, author: Your Name, description: A minimal Rust kernel module, license: GPL, } struct HelloRust; impl kernel::Module for HelloRust { fn init(_module: static ThisModule) - ResultSelf { pr_info!(Hello, Rust kernel module loaded!\n); Ok(HelloRust) } } impl Drop for HelloRust { fn drop(mut self) { pr_info!(Hello, Rust kernel module unloaded!\n); } }这份代码做了什么它定义了一个内嵌的module!宏来声明模块元信息然后实现了kernel::Moduletrait 来定义模块加载时的初始化逻辑以及Droptrait 来定义卸载时的清理逻辑。pr_info!是内核打印日志的宏类似于 C 中的printk。注意这里的 API 在某些内核版本上可能略有变化比如ThisModule的导入方式或init的签名。如果遇到编译错误以该版本内核附带的示例代码为准。5.3 添加 kconfig 与 makefile 的钩子在samples/rust/Kconfig中追加一行引用我们刚才创建的 Kconfigsource samples/rust/hello_rust/Kconfig在samples/rust/Makefile中追加obj-$(CONFIG_SAMPLE_RUST_HELLO) hello_rust/然后回到内核源码根目录重新配置并确认这个模块出现在配置菜单中make LLVM1 menuconfig在Sample kernel code-Rust samples路径下找到Hello, Rust module把它设为M。5.4 编译模块执行make LLVM1 modules_prepare make LLVM1 Msamples/rust/hello_rust如果环境配置正确你会得到一个hello_rust.ko文件。这一步最常见的失败原因包括LLVM 工具链版本不匹配。bindgen 无法处理某些 C 头文件。rustc 版本与内核要求不一致。遇到报错时先查看完整错误信息再检查环境变量。6. 完整示例与代码实现上面已经给出一个最简模块但内核模块通常涉及更复杂的任务比如读写文件、注册设备、操作 GPIO 等。这里再给出一个稍微进阶一点的示例一个使用字符设备的 Rust 内核模块。6.1 字符设备模块示例// 文件路径samples/rust/rust_chrdev/rust_chrdev.rs use kernel::prelude::*; use kernel::chrdev; use kernel::file; use kernel::io_buffer; module! { type: RustChrdev, name: rust_chrdev, author: Your Name, description: A simple character device written in Rust, license: GPL, } struct RustChrdev; impl kernel::Module for RustChrdev { fn init(_module: static ThisModule) - ResultSelf { pr_info!(Rust chrdev loaded\n); Ok(RustChrdev) } } impl Drop for RustChrdev { fn drop(mut self) { pr_info!(Rust chrdev unloaded\n); } }严格来说一个完整的字符设备驱动还需要注册设备号、实现file_operations等。内核 Rust 抽象仍在演进不同版本代码差异较大。这里提供一个思路具体实现建议参考当前内核源码中的抽象层 API。6.2 编译验证脚本如果你希望整个过程更顺畅可以写一个简单的编译脚本#!/bin/bash # 文件路径samples/rust/hello_rust/build.sh set -e cd $(dirname $0) cd ../../.. make LLVM1 modules_prepare make LLVM1 Msamples/rust/hello_rust echo Build success6.3 加载与卸载模块编译出.ko文件后先查看模块信息modinfo samples/rust/hello_rust/hello_rust.ko加载模块sudo insmod samples/rust/hello_rust/hello_rust.ko检查内核日志dmesg | tail -20你应该会看到类似输出Hello, Rust kernel module loaded!卸载模块sudo rmmod hello_rust再看日志Hello, Rust kernel module unloaded!6.4 为什么不建议直接跑到生产机器上验证内核模块运行在内核空间权限非常大。如果模块有 bug轻则内核日志刷屏重则内核 panic、系统崩溃。因此强烈建议先在虚拟机里做实验。推荐使用 QEMU 或 VirtualBox 搭建测试环境再配合virtme工具能极大提升开发效率。例如virtme-run --kdir /path/to/linux --modsauto这样可以直接启动一个运行你编译内核的虚拟机省去手动制作镜像的麻烦。7. 运行结果与效果验证7.1 验证模块是否加载成功除了dmesg日志你还可以用lsmod查看内核模块列表lsmod | grep hello_rust输出会显示hello_rust模块名称、占用内存大小以及是否有其他模块依赖它。7.2 如何判断内核是否真的支持 Rust有几种验证方式方式一查看内核配置grep CONFIG_RUST /boot/config-$(uname -r)如果输出CONFIG_RUSTy说明这个内核启用了 Rust 支持。方式二查看内核导出符号cat /proc/kallsyms | grep rust | head如果有大量rust_开头的符号出现说明 Rust 相关代码已经被编译进内核。方式三尝试编译一个 Rust 模块这是最直接的验证方法。如果编译流程能跑通说明内核的 Rust 工具链配置正确。7.3 验证失败时优先检查什么如果dmesg没有输出优先检查模块是否真的被加载lsmod是否显示。内核日志级别是否过滤了INFO级别的日志。模块路径是否正确。内核版本与模块编译时的内核版本是否一致。模块版本不匹配是非常典型的错误。用insmod加载旧内核编译的模块通常会直接报Invalid module format或Unknown symbol。8. 常见问题与排查思路问题现象可能原因排查方式解决方案make LLVM1报错找不到libclang缺少 libclang 依赖ldconfig -p | grep libclang检查是否存在sudo apt install libclang-devrustc 版本与内核要求不匹配安装的 Rust 太新或太旧查看内核源码rust-toolchain.toml使用 rustup 安装指定版本insmod报Invalid module format模块与当前内核版本不一致执行modinfo hello_rust.ko查看 vermagic重新使用当前内核源码编译模块编译时提示error: binding generation failedbindgen 对某个 C 头文件生成失败查看具体错误信息中的头文件路径检查缺少的开发头文件或调整内核配置加载模块后系统 panic模块代码访问了非法内存用虚拟机测试抓取 panic 日志修复代码中的内存操作确认 FFI 边界正确pr_info!日志不显示dmesg 日志级别过滤dmesg -n 8或echo 8 /proc/sys/kernel/printk调整日志级别后再查看这里要特别说明一个误区不是所有编译错误都来自 Rust 代码本身。很多时候错误来自 Rust 抽象层与当前内核版本的 API 不匹配。内核还在快速演进Rust 抽象层也在频繁调整。如果你看到类似error[E0432]: unresolved import之类的错误建议先检查你的代码是否与当前内核版本的示例代码一致。9. 最佳实践与工程建议9.1 从最小示例开始不要直接做复杂模块Rust 内核模块的开发体验和普通用户态 Rust 不同。它是 no_std 环境没有标准库只能使用内核提供的kernelcrate。同时它运行在中断上下文、原子上下文等多种场景中。建议新手先跑通最小示例再逐步增加功能。9.2 尽量与上游保持同步内核的 Rust 支持迭代很快。如果你在某个版本上写了模块升级内核后很可能需要修改。解决办法是尽量使用当前的最新稳定内核并且以该内核源码中samples/rust/下的代码为参考。9.3 注意 FFI 边界的安全性即使 Rust 是内存安全的但它与 C 代码交互的边界依然是风险点。在 FFI 调用时Rust 无法保证 C 代码的行为也符合 Rust 的所有权规则。因此在边界处要格外谨慎尽量封装好 unsafe 代码。不要轻易向 C 代码传递裸指针。对于从 C 传入的指针要明确其生命周期。用一句话说Rust 保证了它自己的安全但保证不了 C 那部分的可靠。边界上的防线需要开发者自己设计。9.4 保持内核配置最小化如果你只是为了学习 Rust 内核模块不要一次性启用大量功能否则编译时间会非常长。只启用必要的驱动和 Rust 支持可以有效减少出问题的范围。9.5 安全问题Rust 的内存安全特性可以缓解某一类漏洞但它不能解决所有问题。内核中仍然存在逻辑错误、并发 bug、拒绝服务攻击等。评估 Rust 的收益时要客观看待不要认为“用了 Rust 就安全了”。10. 总结与后续学习方向这篇文章从 Linux 内核引入 Rust 的背景出发解释了为什么一个 30 多年的 C 语言项目会接纳一门新语言。核心原因不是“Rust 比 C 高级”而是 Rust 能在不牺牲性能的前提下通过编译期检查减少内存安全漏洞。这对于攻击面巨大的内核来说是一个值得尝试的工程改进。然后我们通过一个最小示例演示了如何在 Linux 内核中编写并编译一个 Rust 模块。这个流程本身比编写用户态 Rust 程序要复杂得多涉及内核配置、工具链匹配、FFI 边界处理等问题。这也是为什么建议新手先在虚拟机中反复实验而不是直接在开发机上试错。接下来你可以继续探索的方向阅读内核源码中samples/rust/目录下更多示例。学习内核抽象层的实现方式尝试为某个子系统写 Rust 绑定。关注 Rust for Linux 项目的进展了解最新的 API 变化。如果有余力可以尝试分析某个已有的 C 驱动评估用 Rust 重写它的成本和收益。最后一句话作为提醒C 语言仍然是系统编程的基石但 Rust 正在改变系统软件工程师的安全假设。与其争论“谁取代谁”不如先动手把一个模块跑起来亲自体验一下这门语言在内核开发中的边界在哪里。把这种变化当成学习信号而不是焦虑来源才是开发者最舒服的姿势。
Linux内核拥抱Rust：从内存安全到首个内核模块实战
1. 这篇文章真正要解决的问题如果你最近关注过 Linux 内核的 release notes会发现一个有意思的信号这个被称为“C 语言最后的堡垒”的项目正在被 Rust 一点点撬动。从 6.1 版本开始Linux 内核主线正式引入了对 Rust 的支持。虽然早期的 Rust 支持还只是“能编译、能跑最小示例”的阶段但背后的意义却非常明确Linux 内核这个拥有 30 多年历史、代码量超过 3000 万行的庞然大物开始认真接纳一门新的系统编程语言。这篇内容不是要告诉你“Rust 即将取代 C”那是标题党的说法。我们要拆解的是下面几个问题为什么 Linux 内核宁愿承担巨大的迁移成本也要引入 RustRust 在内核开发中到底解决了什么痛点作为普通开发者如何快速上手 Rust 内核模块开发这件事对 C 语言开发者的职业判断有什么实际影响如果你正在学习 Rust或者对 Linux 内核开发感兴趣又或者只是好奇“C 语言是不是真的要被取代了”这篇文章值得读完。我们会从原理讲到实操最后给出一个最小可运行的 Rust 内核模块示例。2. 基础概念与核心原理2.1 为什么内核需要 Rust从“内存安全漏洞”说起先看一个数据背景。根据微软安全响应中心MSRC的统计从 2006 年到 2018 年微软产品中约 70% 的安全补丁都与内存安全漏洞有关。Google 的 Chrome 团队也公布过类似数据在 Chromium 的严重安全漏洞中内存安全问题占据了相当高的比例。什么是内存安全漏洞简单地说就是程序在访问内存时发生了越界、释放后使用、空指针解引用等问题。在 C 语言中这些问题大多数不会在编译时报错而是在运行时才暴露攻击者甚至可以利用这些漏洞执行任意代码。C 语言给开发者提供了极大的自由度指针想怎么用就怎么用内存想怎么申请就怎么释放。但自由是有代价的一旦开发者写错了边界条件编译器不会提醒而是会把这些错误原封不动地交给运行时。Linux 内核是 C 语言的大型项目常年维护着数千个已知的 CVE公共漏洞和暴露。其中相当一部分都是内存安全问题。可以说内核安全的关键问题就是内存安全。这也是 Rust 能进入内核的根本原因。2.2 Rust 解决安全问题的三条路径Rust 的安全性不是靠运行时垃圾回收也不是靠沙箱隔离而是靠在编译期完成的静态检查。具体有三个核心机制所有权Ownership每个值在 Rust 中都有一个唯一的所有者。当所有者离开作用域时值会被自动释放。这避免了悬空指针和双重释放问题。借用与生命周期Borrowing LifetimesRust 允许你临时借用值但借用规则在编译期就会被检查。你不可能在一个值已经被释放之后还持有它的引用因为编译器会报错。类型系统与零成本抽象Rust 没有运行时开销也没有垃圾回收器。它的抽象最终会被编译成和 C 几乎等价的机器码。这是它能进入内核的前提因为内核不允许任何额外的运行时开销。用一句话来概括C 语言把内存安全的责任交给了开发者而 Rust 把它交给了编译器。2.3 C 语言会被取代吗先做一个冷静判断先说结论C 语言不会在短时间内退出内核。但它的“独占地位”正在被改写。Linux 内核目前仍然是 C 语言绝对主导。巨大的历史代码库、成熟的工具链、开发者群体、驱动生态都绑定在 C 上。把这些全部重写为 Rust 是不现实的也没有必要。更可能的演化路径是新代码优先选择 Rust老代码继续用 C二者长期共存。对于安全敏感的模块比如文件系统、网络协议栈、驱动Rust 会成为优先选项。这就像一座老房子你不会把承重墙全部拆掉但新装的电路和管道会采用更安全的材料。维度C 语言Rust内存安全依赖开发者自律容易出错编译器静态检查从根本上防止运行时开销几乎为零几乎为零无 GC学习曲线相对平缓指针需要时间陡峭所有权和生命周期需要理解编译速度很快相对较慢内核生态成熟度极高几十年积累刚起步还在演进适合场景存量代码、底层驱动、对编译速度敏感的场景新模块、安全关键路径、复杂并发逻辑这个对比不是想证明 Rust 全面优于 C而是更准确地说明两者解决的是不同阶段的问题。C 解决了“如何让计算机高效运行”Rust 解决了“如何让系统级代码在高效运行的同时不把安全漏洞留给后人”。3. Rust 进入 Linux 内核的来龙去脉3.1 一段持续多年的“讨论”关于 Rust 进入内核的争议其实比很多人想象的更早。早在 2019 年前后Linus Torvalds 在一些公开场合就对 Rust 表达过“不排斥”的态度但真正推动这个项目落地的是 Philip Herrmann、Alex Gaynor 和 Wedson Almeida Filho 等开发者发起的 Rust for Linux 项目。2022 年这个问题变得非常现实。Rust for Linux 项目向内核邮件列表提交了大量补丁希望能在内核中加入对 Rust 的一级支持。这一步并不顺利开发者之间的争论非常激烈。反对者主要担心Rust 编译器依赖 LLVM增加了内核编译链复杂度。新语言会拉高内核贡献者的准入门槛。与 C 之间的 FFI 边界存在安全风险。支持者则认为内核长期面临的内存安全问题已经足够严重即使 Rust 只能覆盖一小部分模块也能减少大量高危漏洞。最终Linus 拍板在 Linux 6.1 版本中合并了 Rust 的基础支持。3.2 “妥协”的说法准确吗很多媒体喜欢用“Linux 之父妥协了”这个说法。从新闻角度看确实抓人眼球但从技术角度看“妥协”这个词不够准确。Linus 并不是因为年龄增长而变得保守或激进他在这个决策上表现得很务实。他认可的不是 Rust 这个“名字”而是它能够解决实际问题的能力。从邮件列表的讨论纪录看Linus 同时批评过 Rust 社区的一些极端言论也表达过对 C 老将们的理解。最终他选择的是在不破坏现有代码的前提下让新工具进入内核。所以更准确的说法是Linux 之父选择了一套能降低内核安全风险的工程方案而不是单纯地对一门语言“妥协”。3.3 当前内核支持 Rust 的真实状态截至本文撰写时Linux 内核主线已经包含rust/目录提供基础设施、核心抽象层如kernelcrate、示例驱动以及针对部分架构的支持。但要注意Rust 支持目前仍被视为“实验性”功能不是每个架构都有完整支持。大量子系统如文件系统、网络、驱动框架等的 Rust 绑定还在持续开发中。“官方推荐使用 Rust”还不算但方向已经明确。用一句话概括Rust 已经进了门但距离“全面铺开”还有很长一段路。4. 环境准备与前置条件如果你已经决定动手写一个 Rust 内核模块第一步不是写代码而是搭建环境。这一部分有很多细节新手容易踩坑。4.1 操作系统与内核版本推荐使用较新的 Linux 发行版。Ubuntu 22.04 及以上、Fedora、Arch Linux 都可以。内核版本方面建议直接使用 6.1 及以上版本这样可以直接利用内核内置的 Rust 支持。查看当前内核版本uname -r如果版本低于 6.1建议先升级内核或者使用发行版提供的较新内核包。4.2 Rust 工具链内核中的 Rust 版本要求比较严格。建议安装 Rust 官方工具链并使用与你的内核版本匹配的 rustc 版本。rustup 是官方推荐的工具链管理器curl --proto https --tlsv1.2 -sSf https://sh.rustup.rs | sh source $HOME/.cargo/env安装完成后确认 rustc 和 cargo 是否可用rustc --version cargo --version这里需要特别提醒不要使用最新版 rustc也不要使用过旧的版本。Linux 内核的rust/目录下有rust-toolchain.toml或其他版本锁定文件直接查看并安装对应版本即可。rustup toolchain install 版本号如果网络不太通畅可以配置国内镜像源。rustup 支持设置环境变量来切换下载源export RUSTUP_DIST_SERVERhttps://rsproxy.cn export RUSTUP_UPDATE_ROOThttps://rsproxy.cn/rustup4.3 与内核编译相关的依赖以 Debian/Ubuntu 为例需要安装以下基础依赖sudo apt update sudo apt install build-essential flex bison dwarves libssl-dev libelf-dev clang llvm这里说明一下clang和llvm用于生成 Rust 的位和 LLVM 位bitcode而内核的 Rust 支持依赖 LLVM 工具链。即使你平时不用 clang 编译内核也要安装它来完成 Rust 支持。4.4 bindgen 与 libclangbindgen是内核 Rust 支持中非常重要的工具。它的作用是从 C 头文件自动生成 Rust FFI 绑定。内核编译时会自动调用 bindgen但你需要提前安装它的运行依赖。在 Ubuntu 上安装 libclangsudo apt install libclang-dev同时确保llvm-config在环境变量中可用。bindgen本身不需要手动安装内核构建系统会自己处理。4.5 配置内核编译参数进入内核源码目录后运行make LLVM1 defconfig然后启用 Rust 支持./scripts/config --enable RUST如果你希望编译 Rust 示例模块还要启用./scripts/config --enable SAMPLE_RUST_MINIMAL重新生成配置make LLVM1 olddefconfig这一套流程看起来简单但很容易因为缺少工具链选项而报错。如果报错信息提示缺少 Rust 支持优先确认两件事内核版本是否足够新、rustc版本是否与内核要求匹配。5. 核心流程拆解从零编写一个 Rust 内核模块5.1 创建模块目录与配置文件先说明一个基本概念内核模块的编译不是独立进行的它依赖内核源码树和构建系统。所以我们要先有完整的内核源码。你可以从内核官网下载最新稳定版源码也可以使用你自己仓库中的内核源码。在源码树的samples/rust/目录下新建一个模块目录或者直接使用已有的示例目录。这里假设我们创建samples/rust/hello_rust/。目录下需要两个核心文件Kconfig和Makefile。Kconfig内容config SAMPLE_RUST_HELLO tristate Hello, Rust module depends on RUST help This is a minimal Rust kernel module example.Makefile内容obj-$(CONFIG_SAMPLE_RUST_HELLO) hello_rust.o这一步的目的告诉内核构建系统这个模块编译后应该生成hello_rust.ko并且它依赖于 Rust 支持。5.2 编写 Rust 内核模块代码在samples/rust/hello_rust/下创建hello_rust.rs// 文件路径samples/rust/hello_rust/hello_rust.rs use kernel::prelude::*; module! { type: HelloRust, name: hello_rust, author: Your Name, description: A minimal Rust kernel module, license: GPL, } struct HelloRust; impl kernel::Module for HelloRust { fn init(_module: static ThisModule) - ResultSelf { pr_info!(Hello, Rust kernel module loaded!\n); Ok(HelloRust) } } impl Drop for HelloRust { fn drop(mut self) { pr_info!(Hello, Rust kernel module unloaded!\n); } }这份代码做了什么它定义了一个内嵌的module!宏来声明模块元信息然后实现了kernel::Moduletrait 来定义模块加载时的初始化逻辑以及Droptrait 来定义卸载时的清理逻辑。pr_info!是内核打印日志的宏类似于 C 中的printk。注意这里的 API 在某些内核版本上可能略有变化比如ThisModule的导入方式或init的签名。如果遇到编译错误以该版本内核附带的示例代码为准。5.3 添加 kconfig 与 makefile 的钩子在samples/rust/Kconfig中追加一行引用我们刚才创建的 Kconfigsource samples/rust/hello_rust/Kconfig在samples/rust/Makefile中追加obj-$(CONFIG_SAMPLE_RUST_HELLO) hello_rust/然后回到内核源码根目录重新配置并确认这个模块出现在配置菜单中make LLVM1 menuconfig在Sample kernel code-Rust samples路径下找到Hello, Rust module把它设为M。5.4 编译模块执行make LLVM1 modules_prepare make LLVM1 Msamples/rust/hello_rust如果环境配置正确你会得到一个hello_rust.ko文件。这一步最常见的失败原因包括LLVM 工具链版本不匹配。bindgen 无法处理某些 C 头文件。rustc 版本与内核要求不一致。遇到报错时先查看完整错误信息再检查环境变量。6. 完整示例与代码实现上面已经给出一个最简模块但内核模块通常涉及更复杂的任务比如读写文件、注册设备、操作 GPIO 等。这里再给出一个稍微进阶一点的示例一个使用字符设备的 Rust 内核模块。6.1 字符设备模块示例// 文件路径samples/rust/rust_chrdev/rust_chrdev.rs use kernel::prelude::*; use kernel::chrdev; use kernel::file; use kernel::io_buffer; module! { type: RustChrdev, name: rust_chrdev, author: Your Name, description: A simple character device written in Rust, license: GPL, } struct RustChrdev; impl kernel::Module for RustChrdev { fn init(_module: static ThisModule) - ResultSelf { pr_info!(Rust chrdev loaded\n); Ok(RustChrdev) } } impl Drop for RustChrdev { fn drop(mut self) { pr_info!(Rust chrdev unloaded\n); } }严格来说一个完整的字符设备驱动还需要注册设备号、实现file_operations等。内核 Rust 抽象仍在演进不同版本代码差异较大。这里提供一个思路具体实现建议参考当前内核源码中的抽象层 API。6.2 编译验证脚本如果你希望整个过程更顺畅可以写一个简单的编译脚本#!/bin/bash # 文件路径samples/rust/hello_rust/build.sh set -e cd $(dirname $0) cd ../../.. make LLVM1 modules_prepare make LLVM1 Msamples/rust/hello_rust echo Build success6.3 加载与卸载模块编译出.ko文件后先查看模块信息modinfo samples/rust/hello_rust/hello_rust.ko加载模块sudo insmod samples/rust/hello_rust/hello_rust.ko检查内核日志dmesg | tail -20你应该会看到类似输出Hello, Rust kernel module loaded!卸载模块sudo rmmod hello_rust再看日志Hello, Rust kernel module unloaded!6.4 为什么不建议直接跑到生产机器上验证内核模块运行在内核空间权限非常大。如果模块有 bug轻则内核日志刷屏重则内核 panic、系统崩溃。因此强烈建议先在虚拟机里做实验。推荐使用 QEMU 或 VirtualBox 搭建测试环境再配合virtme工具能极大提升开发效率。例如virtme-run --kdir /path/to/linux --modsauto这样可以直接启动一个运行你编译内核的虚拟机省去手动制作镜像的麻烦。7. 运行结果与效果验证7.1 验证模块是否加载成功除了dmesg日志你还可以用lsmod查看内核模块列表lsmod | grep hello_rust输出会显示hello_rust模块名称、占用内存大小以及是否有其他模块依赖它。7.2 如何判断内核是否真的支持 Rust有几种验证方式方式一查看内核配置grep CONFIG_RUST /boot/config-$(uname -r)如果输出CONFIG_RUSTy说明这个内核启用了 Rust 支持。方式二查看内核导出符号cat /proc/kallsyms | grep rust | head如果有大量rust_开头的符号出现说明 Rust 相关代码已经被编译进内核。方式三尝试编译一个 Rust 模块这是最直接的验证方法。如果编译流程能跑通说明内核的 Rust 工具链配置正确。7.3 验证失败时优先检查什么如果dmesg没有输出优先检查模块是否真的被加载lsmod是否显示。内核日志级别是否过滤了INFO级别的日志。模块路径是否正确。内核版本与模块编译时的内核版本是否一致。模块版本不匹配是非常典型的错误。用insmod加载旧内核编译的模块通常会直接报Invalid module format或Unknown symbol。8. 常见问题与排查思路问题现象可能原因排查方式解决方案make LLVM1报错找不到libclang缺少 libclang 依赖ldconfig -p | grep libclang检查是否存在sudo apt install libclang-devrustc 版本与内核要求不匹配安装的 Rust 太新或太旧查看内核源码rust-toolchain.toml使用 rustup 安装指定版本insmod报Invalid module format模块与当前内核版本不一致执行modinfo hello_rust.ko查看 vermagic重新使用当前内核源码编译模块编译时提示error: binding generation failedbindgen 对某个 C 头文件生成失败查看具体错误信息中的头文件路径检查缺少的开发头文件或调整内核配置加载模块后系统 panic模块代码访问了非法内存用虚拟机测试抓取 panic 日志修复代码中的内存操作确认 FFI 边界正确pr_info!日志不显示dmesg 日志级别过滤dmesg -n 8或echo 8 /proc/sys/kernel/printk调整日志级别后再查看这里要特别说明一个误区不是所有编译错误都来自 Rust 代码本身。很多时候错误来自 Rust 抽象层与当前内核版本的 API 不匹配。内核还在快速演进Rust 抽象层也在频繁调整。如果你看到类似error[E0432]: unresolved import之类的错误建议先检查你的代码是否与当前内核版本的示例代码一致。9. 最佳实践与工程建议9.1 从最小示例开始不要直接做复杂模块Rust 内核模块的开发体验和普通用户态 Rust 不同。它是 no_std 环境没有标准库只能使用内核提供的kernelcrate。同时它运行在中断上下文、原子上下文等多种场景中。建议新手先跑通最小示例再逐步增加功能。9.2 尽量与上游保持同步内核的 Rust 支持迭代很快。如果你在某个版本上写了模块升级内核后很可能需要修改。解决办法是尽量使用当前的最新稳定内核并且以该内核源码中samples/rust/下的代码为参考。9.3 注意 FFI 边界的安全性即使 Rust 是内存安全的但它与 C 代码交互的边界依然是风险点。在 FFI 调用时Rust 无法保证 C 代码的行为也符合 Rust 的所有权规则。因此在边界处要格外谨慎尽量封装好 unsafe 代码。不要轻易向 C 代码传递裸指针。对于从 C 传入的指针要明确其生命周期。用一句话说Rust 保证了它自己的安全但保证不了 C 那部分的可靠。边界上的防线需要开发者自己设计。9.4 保持内核配置最小化如果你只是为了学习 Rust 内核模块不要一次性启用大量功能否则编译时间会非常长。只启用必要的驱动和 Rust 支持可以有效减少出问题的范围。9.5 安全问题Rust 的内存安全特性可以缓解某一类漏洞但它不能解决所有问题。内核中仍然存在逻辑错误、并发 bug、拒绝服务攻击等。评估 Rust 的收益时要客观看待不要认为“用了 Rust 就安全了”。10. 总结与后续学习方向这篇文章从 Linux 内核引入 Rust 的背景出发解释了为什么一个 30 多年的 C 语言项目会接纳一门新语言。核心原因不是“Rust 比 C 高级”而是 Rust 能在不牺牲性能的前提下通过编译期检查减少内存安全漏洞。这对于攻击面巨大的内核来说是一个值得尝试的工程改进。然后我们通过一个最小示例演示了如何在 Linux 内核中编写并编译一个 Rust 模块。这个流程本身比编写用户态 Rust 程序要复杂得多涉及内核配置、工具链匹配、FFI 边界处理等问题。这也是为什么建议新手先在虚拟机中反复实验而不是直接在开发机上试错。接下来你可以继续探索的方向阅读内核源码中samples/rust/目录下更多示例。学习内核抽象层的实现方式尝试为某个子系统写 Rust 绑定。关注 Rust for Linux 项目的进展了解最新的 API 变化。如果有余力可以尝试分析某个已有的 C 驱动评估用 Rust 重写它的成本和收益。最后一句话作为提醒C 语言仍然是系统编程的基石但 Rust 正在改变系统软件工程师的安全假设。与其争论“谁取代谁”不如先动手把一个模块跑起来亲自体验一下这门语言在内核开发中的边界在哪里。把这种变化当成学习信号而不是焦虑来源才是开发者最舒服的姿势。
