5 月 25 日消息，谷歌的許多開源項目都使用 Rust，這是一種現代系統語言，旨在構建可靠高效的軟件。日前谷歌在 GitHub 上開源了對 Rust Crate 的審查結果，開發者可在自己的項目中導入這些審核結果，以證明所使用的 Rust Crate 的屬性。

▲ 圖源 谷歌開源博客

Rust 社區中存在可用于供開發者發布自己所開發的 Crate 的名為 Crates.io 的服務，開發者利用 Crates.io 也能下載使用他人所開發的 Crate。但所有第三方代碼都帶有一定風險因素。對于本地編譯器層面而言，對 Crate 的要求可能僅是不包含主動惡意代碼、不侵犯隱私、泄露數據或是安裝惡意軟件即可，但是供客戶端側部署的代碼則需要符合更嚴格的要求，例如確保沒有內存安全問題，并需要還要符合系列標準和規范需求、并使用更新的加密技術。

因此通常在新項目開始之際，開發組成員會根據其安全性、正確性、測試等標準對源碼進行徹底的審查，當幾個不同的項目審查同一個 crate 時可能會導致重復工作，因此為了消除重復的工作及驗證安全性，因此谷歌內部項目開始使用新的 Crate 之前一定會經過徹底審核。

而第三方開發者各自審查項目所使用的 Crate 時，可能會浪費資源執行重復的工作，因此谷歌宣布開源審核結果，以避免重復審核工作。谷歌將這些審核結果持續整合到供應鏈儲存庫中，并且使用 cargo vet 來快速驗證項目所使用的 Crate。

開發者可以將谷歌開源的審核結果，包括代碼質量、安全性和測試要求等屬性，導入到自己的項目中，并且根據這些 Crate 屬性，決定其是否符合項目需求。不同使用案例的需求不同，cargo vet 讓用戶能夠對每一個相依項目獨立配置要求。

日前谷歌的 ChromeOS 和 Fuchsia 項目都已經貢獻 Crate 審核結果，其他谷歌項目也會逐漸加入，如此便可覆蓋更多的 Crate 。目前這項工作仍在初期階段，包括 cargo vet 執行和共享審核的運作細節，之后可能還會有所變動。

IT之家注：在 Rust 程序語言中，Crate 是 Rust 中的一個編譯單位，Crate 可以編譯成二進制文件或庫，其包含 Rust 代碼和其他相關資源，可以被編譯成執行文件或是函數庫。Rust 使得在 Crate 中封裝和共享代碼變得容易，就像其他語言的軟件包，這些 Crate 是可復用的軟件組件，因此具有相當廣泛的普適性。