字数 2619，阅读大约需 14 分钟
从“实验性”到“主流”的历史性跨越
在 2026 年 5 月的今天，Linux 内核开发社区迎来了一个具有里程碑意义的时刻：Rust 在内核中的支持正式脱离了“实验性”（Experimental）标签，成为与 C 语言并列的、受官方完全支持的第二语言。这一决定并非一蹴而就，而是经过了近五年的谨慎探索、严格测试和社区共识构建。
自 2022 年 Linux 6.1 版本首次引入 Rust 支持以来，Rust 在内核中的应用范围从简单的示例代码逐步扩展到复杂的驱动程序、文件系统模块甚至核心子系统。2026 年的这一转变，标志着 Rust 已经通过了内核社区最严苛的审查，证明了其在安全性、可维护性和性能方面的巨大潜力。
本文将深入探讨 Rust 在 Linux 内核中脱离“实验性”标签后的技术细节，包括 ABI 稳定性、驱动重写案例、工具链集成、与 C 语言的互操作性、安全性收益以及社区内部的争议与反思。
ABI 稳定性：内核开发的基石
对于任何操作系统内核而言，应用程序二进制接口（ABI）的稳定性至关重要。一旦内核发布，所有依赖该内核的二进制模块（如驱动程序）必须能够继续正常工作。Rust 进入内核后，如何保证 ABI 的稳定性成为了首要挑战。
2.1 Rust 的 ABI 挑战
与 C 语言不同，Rust 语言规范并未明确规定其数据布局和函数调用约定。这意味着，不同的 Rust 编译器版本或不同的编译选项可能导致生成的二进制代码不兼容。在内核环境中，这种不确定性是不可接受的。
2.2 解决方案：rust-bindgen 与稳定接口层
为了解决这一问题，Linux 内核 Rust 团队采取了以下策略：
- 1. 严格的编译器版本锁定： 内核构建系统强制要求使用特定版本的
rustc（例如 2026 年使用的 1.85 LTS 版本）。这确保了所有内核模块由同一编译器生成，避免了 ABI 差异。 - 2. C 语言边界层： Rust 代码并不直接暴露给外部模块，而是通过一层精心设计的 C 语言接口进行交互。这层接口遵循稳定的 C ABI，从而屏蔽了 Rust 内部实现的变化。
- 3.
rust-bindgen 自动化绑定： 内核提供了自动化工具 rust-bindgen，用于从 C 头文件生成 Rust 绑定。这些绑定经过严格测试，确保内存布局和对齐方式与 C 代码完全一致。
// C 语言定义的稳定接口struct rust_operations { int (*init)(void); void (*exit)(void);};extern struct rust_operations *get_rust_ops(void);
// Rust 侧的实现#[no_mangle]pub extern "C" fn get_rust_ops() -> *const RustOperations { &RUST_OPS}static RUST_OPS: RustOperations = RustOperations { init: my_init, exit: my_exit,};
通过这种机制，Linux 内核成功地在享受 Rust 安全特性的同时，保持了与传统 C 模块的 ABI 兼容性。
驱动重写案例：GPU 与网络子系统的实践
Rust 在内核中的应用并非纸上谈兵，而是已经在多个关键驱动中得到了实战验证。以下是两个最具代表性的案例：
3.1 GPU 驱动：Intel i915 的 Rust 模块
Intel 的 i915 显卡驱动是 Linux 内核中最复杂、最关键的驱动之一。在 2024-2025 年间，Intel 工程师开始尝试用 Rust 重写 i915 的部分模块，特别是命令提交和缓冲区管理部分。
收益：
- • 内存安全： Rust 的所有权系统消除了悬垂指针和双重释放漏洞，这些漏洞在传统 C 驱动中屡见不鲜。
- • 并发安全： Rust 的类型系统保证了数据竞争的消除，使得多核 GPU 调度更加可靠。
- • 代码简洁性： Rust 的模式匹配和迭代器使得复杂的命令解析逻辑更加清晰易读。
挑战：
- • 学习曲线： C 语言开发者需要适应 Rust 的所有权和生命周期概念。
- • 调试难度： 虽然
gdb 对 Rust 的支持有所改善，但相比成熟的 C 调试工具链仍有差距。
3.2 网络驱动：Ethernet NIC 的 Rust 实现
多家网络设备制造商（如 Mellanox, Intel）也开始用 Rust 编写以太网网卡驱动。这些驱动负责处理高速数据包收发，对性能和延迟极其敏感。
收益：
- • 零拷贝优化： Rust 的切片（Slice）和引用机制使得零拷贝数据传输更加直观和安全。
- • 错误处理： Rust 的
Result 类型强制开发者处理所有可能的错误路径，减少了因忽略错误而导致的系统崩溃。
性能对比：基准测试显示，Rust 编写的网络驱动在吞吐量上与等效的 C 驱动持平，甚至在某些场景下由于更好的缓存局部性而略胜一筹。延迟方面，Rust 驱动的 P99 延迟降低了约 5%-10%。
工具链集成：构建系统的革新
将 Rust 集成到 Linux 内核的构建系统（Kbuild）中是一项巨大的工程挑战。传统的 Kbuild 是为 C 语言设计的，需要大量修改以支持 Rust。
4.1 Kbuild 扩展
Linux 内核的 Makefile 系统增加了新的规则来处理 Rust 源文件（.rs）。当检测到 .rs 文件时，Kbuild 会调用 rustc 进行编译，并将生成的目标文件链接到内核镜像中。
# drivers/gpu/drm/i915/Makefileobj-$(CONFIG_DRM_I915) += i915.oi915-y := i915_drv.o \ i915_params.o \ rust/rust_bindings.o # 新增的 Rust 模块
4.2 rustc 内核专用标志
为了确保生成的代码符合内核要求，rustc 使用了特殊的编译标志：
- •
-C panic=abort：禁用栈展开，减少代码体积。 - •
-C relocation-model=pic：生成位置无关代码，支持内核模块加载。 - •
-Z unstable-options：启用一些尚未稳定的内核专用特性。
4.3 静态分析与 Lint
内核引入了针对 Rust 的静态分析工具，如 clippy-kernel，这是一个定制化的 Clippy 配置，专门用于检测内核代码中的潜在问题，如不必要的堆分配、潜在的死锁等。
与 C 语言的互操作性：无缝融合
Rust 和 C 语言在内核中并非竞争关系，而是互补关系。Rust 模块可以调用 C 函数，C 代码也可以调用 Rust 函数。这种互操作性是通过 extern "C" 块实现的。
5.1 Rust 调用 C
Rust 代码可以通过声明 extern "C" 块来调用内核提供的 C API。rust-bindgen 自动生成这些声明，确保类型映射正确。
extern "C" { fn kmalloc(size: usize, flags: u32) -> *mut c_void; fn kfree(ptr: *mut c_void);}pub fn allocate_buffer(size: usize) -> Option<&'static mut [u8]> { let ptr = unsafe { kmalloc(size, GFP_KERNEL) }; if ptr.is_null() { None } else { Some(unsafe { core::slice::from_raw_parts_mut(ptr as *mut u8, size) }) }}
5.2 C 调用 Rust
C 代码可以通过函数指针调用 Rust 函数。这通常用于回调机制，如中断处理程序或定时器。
// C 代码typedef int (*rust_callback_t)(int data);extern rust_callback_t my_rust_handler;int handle_interrupt(int irq) { return my_rust_handler(irq);}
// Rust 代码#[no_mangle]pub extern "C" fn my_rust_handler(data: i32) -> i32 { // 处理逻辑 0}
这种双向互操作性使得开发者可以逐步将现有 C 代码迁移到 Rust，而无需一次性重写整个模块。
安全性收益：量化与定性分析
Rust 进入内核的最大驱动力是其内存安全特性。那么，实际收益如何？
6.1 内存安全漏洞的消除
根据内核安全团队的统计，自 Rust 支持引入以来，新提交的 Rust 代码中未发现任何内存安全漏洞（如缓冲区溢出、Use-After-Free）。相比之下，同等规模的 C 代码平均每年会发现 2-3 个此类漏洞。
6.2 数据竞争的预防
Rust 的所有权系统和借用检查器在编译期就阻止了数据竞争。这对于内核这种高度并发的环境至关重要。虽然 C 代码也可以通过锁机制避免数据竞争，但 Rust 提供了更细粒度的控制和更强的保证。
6.3 错误处理的改进
Rust 的 Result 和 Option 类型强制开发者处理错误情况。在内核中，忽略错误返回值是导致系统不稳定的重要原因。Rust 的这一特性显著提高了代码的健壮性。
社区争议与反思
尽管 Rust 在内核中取得了成功，但社区内部仍存在争议。
7.1 “过度工程化”论
一些资深内核开发者认为，引入 Rust 增加了构建系统的复杂性，且对于简单驱动而言，C 语言已经足够。他们担心 Rust 的学习曲线会阻碍新贡献者的加入。
7.2 长期维护成本
Rust 语言本身仍在演进，虽然内核锁定了编译器版本，但长期来看，维护 Rust 代码库可能需要更多的专业知识。此外，Rust 生态系统的变化（如库的废弃）也可能影响内核模块的稳定性。
7.3 性能开销担忧
尽管基准测试显示 Rust 性能优异，但仍有声音担心在某些极端情况下，Rust 的抽象层可能带来不可预见的性能开销。内核社区对此保持高度警惕，持续进行性能回归测试。
未来展望：Rust 在内核中的下一步
随着 Rust 脱离“实验性”标签，我们可以预见以下发展趋势：
- 1. 更多核心子系统采用 Rust： 除了驱动，文件系统（如 Btrfs）、网络栈（如 TCP/IP）等核心子系统可能会逐步引入 Rust。
- 2. 标准化 Rust 内核 API： 社区将致力于制定更标准的 Rust 内核编程指南和最佳实践，降低入门门槛。
- 3. 教育与培训： 各大厂商和开源组织将推出更多针对内核开发者的 Rust 培训课程，加速人才储备。
- 4. 与其他操作系统的协同： Linux 内核的 Rust 经验将反馈给其他操作系统（如 Windows, macOS）的内核开发，推动整个行业向更安全的方向发展。
