近年来，随着网络安全威胁日益严峻，一个名为“Memory Safety Absolutists”（内存安全绝对主义者）的群体正在全球开发者社区引发激烈争论。他们主张：所有系统软件必须使用内存安全语言编写，任何形式的unsafe代码都应被彻底禁止。这一激进观点，正在撼动C/C++统治了半个世纪的底层编程世界。
从“漏洞之王”到安全觉醒
内存安全漏洞——如缓冲区溢出、释放后使用、空指针解引用——长期占据高危漏洞榜单的绝大多数。根据微软2023年发布的安全报告，过去十年中，微软每年修复的安全漏洞中约有70%与内存安全问题相关。谷歌Android团队同样发现，其平台漏洞中约76%归因于内存错误。
这些触目惊心的数据，让美国政府网络安全与基础设施安全局（CISA）、国家安全局（NSA）相继发布指南，明确建议开发者在新建项目中使用内存安全语言——如Rust、Go、Swift和Java。正是在这一背景下，“内存安全绝对主义者”开始崭露头角。
绝对主义的核心理念
该群体的核心论点是：内存安全不是锦上添花，而是系统软件正确性的基础。他们认为，任何允许手动管理内存的代码（包括C/C++中看似安全的“局部”用法）都构成不可接受的风险。即使是最优秀的程序员也无法避免人为错误，而一个内存漏洞就足以让整个系统崩溃或被攻破。
这种立场最鲜明的代表，是Rust编程语言的某些倡导者。Rust通过所有权、借用检查器和生命周期机制，在编译时就能消除内存安全错误，同时保持接近C的性能。绝对主义者主张，操作系统内核、浏览器引擎、数据库等关键基础设施，都应使用Rust重写或取代C/C++实现。例如，Linux内核已在6.1版本中引入Rust支持；Google的Android团队也在逐步将关键组件迁移到Rust，并表示这已显著减少安全漏洞。
反对声音：实用主义与复杂现实
然而，绝对主义观点也遭遇了强烈反对。许多经验丰富的系统开发者认为，完全否定unsafe代码是脱离实际的。
第一，性能与资源限制。在嵌入式、实时系统或性能极端敏感的场景中，C/C++仍然具有不可替代的优势。Rust的安全抽象虽然高效，但并非零开销。某些底层硬件交互、内核级优化，仍然需要精细的内存操作。
第二，现有代码库的庞大惯性。全球有数百亿行C/C++代码在运行，从银行交易系统到航天飞行器，完全重写不现实。渐进式改进才是现实路径，而非一刀切地废弃。
第三，不安全代码的“安全”使用。反对者指出，Rust自身也提供了unsafe块以进行必要时的底层操作。绝对主义者试图完全禁止unsafe，但假如失去了这种能力，Rust将无法完成操作系统、设备驱动等任务。关键在于：在unsafe块中封装好逻辑，并通过外部安全接口调用，这已被证明是可行的实践。
现实案例：Google Android的Rust迁移
为了理解这场争论的实际影响，不妨分析Google Android的案例。2022年，Android团队宣布，在Android 13中，约21%的新原生代码是Rust编写的，而内存安全漏洞比例从C/C++时的76%骤降至几乎为零。这无疑是内存安全语言的有力证据。
但值得注意，Android并未完全抛弃C/C++，而是优先在新组件中使用Rust，并逐步将关键旧模块重写。这种务实的“渐进绝对主义”——即设定长期目标为100%内存安全，但允许过渡期内存在例外——似乎取得了平衡。即便如此，一些绝对主义者仍批评Google行动不够彻底，认为只要存在任何C/C++代码，攻击面就依然存在。
更广泛的行业趋势
围绕内存安全绝对主义的辩论，其实折射出行业对安全与效率平衡的持续探索。微软已启动多个Rust项目，包括重写Windows内核中的某些组件；Amazon Web Services也推出了基于Rust的高性能服务。与此同时，C++社区也在积极引入安全特性，如C++20的std::span和生命周期标注提案。
美国国防部高级研究计划局（DARPA）甚至启动了一个名为“TRADE”的项目，探索用形式化方法证明C代码的内存安全性——这为保留现有代码库提供了另一条出路。
结论：绝对主义还是适度主义？
“Memory Safety Absolutists”为我们提供了一种清晰的理想：一个没有内存漏洞的世界。然而，现实系统工程的复杂性决定了，从不完美到完美的道路需要务实渐进。也许，真正的共识并非要么完全禁止unsafe代码，要么放任自由；而是在关键路径上追求最大程度的安全，同时在必要时谨慎地使用可控的底层操作。
这场辩论没有终点，但有一点是确定的：内存安全的重要性已经得到了全球开发者、企业和政府的一致认可。无论绝对主义者还是实用主义者，最终目标都是更安全、更可靠的软件——只是路径不同而已。而这场争论本身，正在推动整个行业朝着更安全的未来迈进。