Context varargs can smuggle graph-runtime references past the borrow tree's lifetime discipline

Aperta
  • Qualcosa non va?
#4,358 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
25/100
Tipo di issue
Bug
Chiarezza
Da chiarire
Stato di attività
Tranquilla
Stack tecnologico
rust
Ambito
backend-api-design

Direzione di ricerca

Inizia tracciando OwnedContextImpl::with_vararg, la gestione del ciclo di vita di NodeContainer e il percorso dello snapshot IORecord del nodo Monitor, quindi esamina le modifiche al polimorfismo di rango in #4335. Il lavoro è completato quando le API context e vararg non consentono più ai riferimenti al runtime del grafo di sfuggire oltre il loro ciclo di vita valido, anche attraverso una ricompilazione del grafo, senza indebolire le garanzie del codice sicuro.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Graphene

Reported by @TrueDoctor following the rank polymorphism PR (#4335). Three existing mechanisms combine into an unsound API surface:

  1. The borrow tree launders lifetimes: NodeContainer derefs *const TypeErasedNode<'static> to &'static, so references handed out inside the graph (the &PlatformEditorApi scope wire, &WgpuExecutor, or any reference to node-owned state) are typed 'static but actually live only until the next graph recompilation deallocates their owner.
  2. OwnedContextImpl::with_vararg accepts any Box<dyn AnyHash + Send + Sync>. Its 'static bound cannot distinguish real ownership from a laundered reference, so safe code in any node can store such a reference into a context. #4335 made this channel idiomatic (render boundary config, per-item lambda rows).
  3. Contexts escape the graph: the Monitor node snapshots IORecord { input: Context, output } into an Arc<dyn Any> that the editor introspects and can retain across recompiles.

Combined: a node stores a laundered reference as a vararg, a Monitor captures the context, the graph recompiles and frees the referent, and the editor reads freed memory through entirely safe code (vararg() + downcast_ref). A vararg with interior mutability would similarly let context readers mutate graph-owned state as a covert return channel.

All current with_vararg callers box owned data, so no UB exists in the code today. But the risk remains for the API permitting it silently.

Lingua principale
Rust
Stelle
27.8k
Fork
1.3k
Merge medio
10h 53m
PR unite (30g)
195

Preparare l'ambiente

Apri in Codespaces

Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.

  • Nessun Dockerfile né file Docker Compose
  • Ha un modello di pull request
  • Nessuna guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di GraphiteEditor/Graphite

Tutte le issue di GraphiteEditor/Graphite

Issue simili

Altre issue su Rust

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.