サンプルコードで身につける: unsafe — コンパイラの保証を一部外す

解説で学んだ概念を、5つの具体例で確認します。素朴な例から実務寄りの例へと進みます。

1生ポインタを作って読む

&value as *const i32 で生ポインタを「作る」のは普通のコードで書けて、* で「読む」操作だけが unsafe ブロックを要求します。有効な変数の参照から作った直後のポインタなので、この読み取りは安全に閉じています。まずは unsafe の境界線がどこに引かれているかを確認してください。

Rust

fn main() {
    let value = 100;
    let ptr = &value as *const i32; // 作るだけなら unsafe 不要

    // 参照外しだけが unsafe ブロックを必要とする
    let read = unsafe { *ptr };
    println!("ポインタ経由 = {}", read);
    println!("元の値 = {}", value);
}

2*mut で書き換える

可変参照から *mut i32 を作れば、unsafe ブロックの中でポインタ越しの書き換えができます。借用チェッカーの管理外になるぶん、「ポインタが指す先が有効なまま使う」責任がプログラマに移ります。この例は有効な変数を直後に書き換えるだけなので、安全に閉じています。

Rust

fn main() {
    let mut count = 10;
    let ptr = &mut count as *mut i32; // 可変参照から *mut を作る

    unsafe {
        *ptr += 5; // 有効な変数を指しているので安全に書き換えられる
    }
    println!("count = {}", count);
}

3unsafe fn — 責任を呼び出し側へ

関数自体に unsafe を付けると、「引数のポインタが有効であることは呼び出し側が保証する」という契約になります。呼び出す側にも unsafe ブロックが必要になり、責任の所在がコードに明示されます。C ライブラリの関数を Rust から包むときによく見る形です。

Rust

// 「有効なポインタを渡すこと」を呼び出し側に約束させる関数
unsafe fn read_at(ptr: *const i32) -> i32 {
    *ptr
}

fn main() {
    let value = 7;
    let ptr = &value as *const i32;
    // unsafe fn の呼び出しにも unsafe ブロックが必要
    let n = unsafe { read_at(ptr) };
    println!("n = {}", n);
}

4unsafe を安全な関数に閉じ込める

長さを検査してから unsafe で先頭要素を読む first は、外から見ればただの安全な関数です。「危険な操作を検査と一緒に内側へ閉じ込めて、安全な API だけを公開する」のが Rust 流の unsafe の使い方です。標準ライブラリの Vec なども内部はこの構造でできています。

Rust

// unsafe を内側に隠し、外には安全な関数だけを見せる
fn first(slice: &[i32]) -> Option<i32> {
    if slice.is_empty() {
        return None;
    }
    // 長さを検査済みなので、この読み取りの前提は破られない
    Some(unsafe { *slice.as_ptr() })
}

fn main() {
    println!("{:?}", first(&[10, 20, 30]));
    println!("{:?}", first(&[]));
}

5split_at_mut — 標準ライブラリの中の unsafe

1つの配列の前半と後半へ同時に &mut を取ることは、借用ルールの上では書けません。標準の split_at_mut は「重ならない2つの範囲だから安全」という事実を内部の unsafe で実装し、安全な API として提供しています。私たちは unsafe を書かずに、その恩恵だけを受けられます。

Rust

fn main() {
    let mut scores = [60, 70, 80, 90];
    // 1つの配列から2つの &mut を取るのは借用ルールでは書けないが、
    // split_at_mut が内部の unsafe でこれを安全な API にしている
    let (left, right) = scores.split_at_mut(2);
    left[0] += 5;
    right[1] += 5;
    println!("left = {:?}, right = {:?}", left, right);
    println!("scores = {:?}", scores);
}