作為一個相當完善的移動操作系統(tǒng)，Android 系統(tǒng)涉及到很多組件。如果寬泛的來講可以分成兩大部分，應用生態(tài)和操作系統(tǒng)本身。而對于開發(fā)者來說，所選擇的編程語言會根據(jù)正在開發(fā)的 Android 部分有所不同。

對于應用開發(fā)者來說，Java 和 Kotlin 是比較流行的選擇;而對于從事操作系統(tǒng)以及內部底層的開發(fā)者來說，C 和 C++ 是比較熱門的選擇。而今天谷歌為操作系統(tǒng)開發(fā)者增加了第 3 個選擇-- Rust，因為 Android Open Source Project 現(xiàn)在支持 Rust 編程語言來開發(fā)操作系統(tǒng)了。

C 和 C++ 的限制

Android 系統(tǒng)的底層需要 C 和 C++ 等系統(tǒng)編程語言。這些語言為開發(fā)者提供了控制和可預測性，這在訪問低級系統(tǒng)資源和硬件時非常重要。不幸的是，C 和 C++ 并不能提供內存安全保證，使得它們容易出現(xiàn)錯誤和安全漏洞。開發(fā)者有責任在這些語言上管理內存壽命，但在復雜和多線程的代碼庫中，這說起來容易做起來難。

C 和 C++ 共同構成了 Android 平臺上數(shù)以千萬計的代碼行。這些內存安全漏洞成為最難解決的代碼錯誤來源，占 Android 高嚴重度安全漏洞的 70% 左右。單純的修復這些 bug 變得不足以處理問題，更好的方法是在一開始就預防這些 bug。

由于缺乏內存安全保障，迫使開發(fā)者在嚴格約束的無權限沙盒內運行Android進程。但沙盒在資源上的成本很高，會消耗額外的開銷，并引入延遲。沙盒也不能完全消除代碼的漏洞，而且由于 bug 密度高，沙盒的功效會降低，進一步讓攻擊者連鎖多個漏洞。

另一個限制，雖然不是 C 和 C++ 獨有的，但適用于所有的內存安全問題，那就是錯誤狀態(tài)必須在工具化的代碼中實際觸發(fā)，才能被檢測到。所以即使你的代碼有很好的測試，實際的 bug 也可能一直沒有被發(fā)現(xiàn)。而當發(fā)現(xiàn)bug時，讓它們得到修復又是另一項任務，涉及到一個漫長而昂貴的過程，不一定能得到正確的修復。因此，bug 檢測變得不可靠，鑒于這些局限性，bug 預防是更好的方法。

Rust 及其優(yōu)勢

Rust 通過使用編譯時檢查和運行時檢查相結合的方式提供內存安全保證，以強制執(zhí)行對象的壽命/所有權，并確保內存訪問是有效的。在實現(xiàn)這種安全性的同時，還能提供與C和C++相當?shù)男阅堋ust 還減少了對沙盒的需求，讓開發(fā)人員有更多的開銷空間來引入更安全、更輕量的新功能。

雖然 Rust 確實有它的好處，但一夜之間將整個Android操作系統(tǒng)換成Rust是不可行的。而且可能根本不需要這樣做，因為大多數(shù) Android 的內存錯誤都發(fā)生在新的或最近修改的代碼中，大約有50%的代碼是不到一年的。谷歌認為，其內存安全語言的工作最好集中在新的開發(fā)上，而不是重寫成熟的C和C++代碼。

切換到 Rust 對于Android 意味著什么

Rust還專注于防止bug，而不是嚴重依賴檢測bug，從而提高代碼的正確性。它有幾個關鍵特性，比如內存安全、數(shù)據(jù)并發(fā)、更有表現(xiàn)力的類型系統(tǒng)、默認的不可變引用和變量、更安全的整數(shù)處理、標準庫中更好的錯誤處理等等。

Google表示，在過去的18個月里，它一直在為Android開源項目添加Rust支持。但在Android平臺上添加一門新語言是一項巨大的工程。一些工具鏈和依賴關系需要維護，測試基礎設施和工具必須更新，開發(fā)人員需要接受培訓。