[论文解读] Experience Report: Developing the Servo Web Browser Engine using Rust

Brian C. Anderson, Lars Bergström+6 more|arXiv (Cornell University)|May 26, 2015

Logic, programming, and type systems参考文献 17被引用 12

一句话总结

本文提出 Servo，一种使用 Rust 实现的新式网页浏览器引擎，旨在实现比传统 C++ 基础引擎更优的内存安全性和并行处理能力。通过利用 Rust 的所有权系统、仿射类型和消息传递架构，Servo 实现了安全、高性能的并发渲染，同时减少了常见的内存安全错误。

ABSTRACT

All modern web browsers - Internet Explorer, Firefox, Chrome, Opera, and Safari - have a core rendering engine written in C++. This language choice was made because it affords the systems programmer complete control of the underlying hardware features and memory in use, and it provides a transparent compilation model. Servo is a project started at Mozilla Research to build a new web browser engine that preserves the capabilities of these other browser engines but also both takes advantage of the recent trends in parallel hardware and is more memory-safe. We use a new language, Rust, that provides us a similar level of control of the underlying system to C++ but which builds on many concepts familiar to the functional programming community, forming a novelty - a useful, safe systems programming language. In this paper, we show how a language with an affine type system, regions, and many syntactic features familiar to functional language programmers can be successfully used to build state-of-the-art systems software. We also outline several pitfalls encountered along the way and describe some potential areas for future research.

研究动机与目标

• 设计并实现一种现代化的网页浏览器引擎，相比基于 C++ 的引擎，提升内存安全性和并发性。
• 评估 Rust 作为一种大型、性能关键的软件（如网页浏览器）系统编程语言的可行性。
• 通过语言级别的保证，解决浏览器引擎中常见的安全漏洞，特别是使用后释放（use-after-free）和缓冲区溢出问题。
• 探索新型架构模式，如数据并行布局和组件间消息传递，以提升多核系统上的响应能力。
• 识别并记录使用新型系统编程语言构建生产级浏览器引擎过程中的关键挑战与开放问题。

提出的方法

• 使用 Rust 实现浏览器引擎，以利用其所有权模型、区域（regions）和仿射类型，实现无垃圾回收机制的内存安全。
• 设计基于组件的架构，通过独立线程间的消息传递（如脚本、布局、渲染线程）减少数据竞争，提升并发性。
• 使用推测性解析和预取技术，降低页面加载延迟，尤其在带宽和处理能力受限的移动设备上。
• 应用函数式编程概念，如不可变性与代数数据类型，来建模中间表示（DOM、流树、显示列表）。
• 集成静态检查工具（如 Clippy）以强制执行编码规范，并在开发早期捕获常见不安全模式。
• 采用增量计算技术，避免在小幅度更改后对整个网页进行完整重新处理，从而提升响应速度。

实验结果

研究问题

• RQ1 系统编程语言如 Rust 是否能有效替代 C++，用于构建高性能、内存安全的浏览器引擎？
• RQ2 Rust 的所有权和类型系统在复杂系统（如浏览器引擎）中，如何减少常见的低级内存错误（如使用后释放、缓冲区溢出）？
• RQ3 消息传递与数据并行性在现代多核及移动硬件上，能在多大程度上提升响应能力和可扩展性？
• RQ4 在性能关键领域，使用新型语言（如 Rust）构建大规模系统软件时，面临哪些实际挑战与限制？
• RQ5 在即时编译（JIT）编译、整数溢出检查以及系统代码中不安全代码块的验证等方向，仍存在哪些开放性问题？

主要发现

• Servo 成功实现了基于 Rust 的函数式、安全且并发的浏览器引擎，在保持高性能的同时，内存安全性优于基于 C++ 的引擎。
• Rust 的所有权系统几乎完全消除了历史上困扰基于 C++ 的浏览器的使用后释放和越界访问等内存错误。
• 组件间的消息传递架构显著减少了数据竞争，提升了并发执行下的模块化与正确性。
• 推测性解析与预取技术有效降低了页面加载延迟，尤其在带宽和处理能力受限的移动设备上表现突出。
• 静态检查工具（如 Clippy）有助于强制执行最佳实践，并在早期捕获常见不安全模式，从而提升代码质量和可维护性。
• 尽管取得诸多成功，但在不安全代码块的验证、整数溢出检查的性能优化，以及在 Rust 中构建高性能 JIT 编译系统方面，仍存在挑战。