rust/kernel/str.rs

   1 // SPDX-License-Identifier: GPL-2.0
   2
   3 //! String representations.
   4
   5 use alloc::alloc::AllocError;
   6 use alloc::vec::Vec;
   7 use core::fmt::{self, Write};
   8 use core::ops::{self, Deref, Index};
   9
  10 use crate::{
  11     bindings,
  12     error::{code::*, Error},
  13 };
  14
  15 /// Byte string without UTF-8 validity guarantee.
  16 ///
  17 /// `BStr` is simply an alias to `[u8]`, but has a more evident semantical meaning.
  18 pub type BStr = [u8];
  19
  20 /// Creates a new [`BStr`] from a string literal.
  21 ///
  22 /// `b_str!` converts the supplied string literal to byte string, so non-ASCII
  23 /// characters can be included.
  24 ///
  25 /// # Examples
  26 ///
  27 /// ```
  28 /// # use kernel::b_str;
  29 /// # use kernel::str::BStr;
  30 /// const MY_BSTR: &BStr = b_str!("My awesome BStr!");
  31 /// ```
  32 #[macro_export]
  33 macro_rules! b_str {
  34     ($str:literal) => {{
  35         const S: &'static str = $str;
  36         const C: &'static $crate::str::BStr = S.as_bytes();
  37         C
  38     }};
  39 }
  40
  41 /// Possible errors when using conversion functions in [`CStr`].
  42 #[derive(Debug, Clone, Copy)]
  43 pub enum CStrConvertError {
  44     /// Supplied bytes contain an interior `NUL`.
  45     InteriorNul,
  46
  47     /// Supplied bytes are not terminated by `NUL`.
  48     NotNulTerminated,
  49 }
  50
  51 impl From<CStrConvertError> for Error {
  52     #[inline]
  53     fn from(_: CStrConvertError) -> Error {
  54         EINVAL
  55     }
  56 }
  57
  58 /// A string that is guaranteed to have exactly one `NUL` byte, which is at the
  59 /// end.
  60 ///
  61 /// Used for interoperability with kernel APIs that take C strings.
  62 #[repr(transparent)]
  63 pub struct CStr([u8]);
  64
  65 impl CStr {
  66     /// Returns the length of this string excluding `NUL`.
  67     #[inline]
  68     pub const fn len(&self) -> usize {
  69         self.len_with_nul() - 1
  70     }
  71
  72     /// Returns the length of this string with `NUL`.
  73     #[inline]
  74     pub const fn len_with_nul(&self) -> usize {
  75         // SAFETY: This is one of the invariant of `CStr`.
  76         // We add a `unreachable_unchecked` here to hint the optimizer that
  77         // the value returned from this function is non-zero.
  78         if self.0.is_empty() {
  79             unsafe { core::hint::unreachable_unchecked() };
  80         }
  81         self.0.len()
  82     }
  83
  84     /// Returns `true` if the string only includes `NUL`.
  85     #[inline]
  86     pub const fn is_empty(&self) -> bool {
  87         self.len() == 0
  88     }
  89
  90     /// Wraps a raw C string pointer.
  91     ///
  92     /// # Safety
  93     ///
  94     /// `ptr` must be a valid pointer to a `NUL`-terminated C string, and it must
  95     /// last at least `'a`. When `CStr` is alive, the memory pointed by `ptr`
  96     /// must not be mutated.
  97     #[inline]
  98     pub unsafe fn from_char_ptr<'a>(ptr: *const core::ffi::c_char) -> &'a Self {
  99         // SAFETY: The safety precondition guarantees `ptr` is a valid pointer
 100         // to a `NUL`-terminated C string.
 101         let len = unsafe { bindings::strlen(ptr) } + 1;
 102         // SAFETY: Lifetime guaranteed by the safety precondition.
 103         let bytes = unsafe { core::slice::from_raw_parts(ptr as _, len as _) };
 104         // SAFETY: As `len` is returned by `strlen`, `bytes` does not contain interior `NUL`.
 105         // As we have added 1 to `len`, the last byte is known to be `NUL`.
 106         unsafe { Self::from_bytes_with_nul_unchecked(bytes) }
 107     }
 108
 109     /// Creates a [`CStr`] from a `[u8]`.
 110     ///
 111     /// The provided slice must be `NUL`-terminated, does not contain any
 112     /// interior `NUL` bytes.
 113     pub const fn from_bytes_with_nul(bytes: &[u8]) -> Result<&Self, CStrConvertError> {
 114         if bytes.is_empty() {
 115             return Err(CStrConvertError::NotNulTerminated);
 116         }
 117         if bytes[bytes.len() - 1] != 0 {
 118             return Err(CStrConvertError::NotNulTerminated);
 119         }
 120         let mut i = 0;
 121         // `i + 1 < bytes.len()` allows LLVM to optimize away bounds checking,
 122         // while it couldn't optimize away bounds checks for `i < bytes.len() - 1`.
 123         while i + 1 < bytes.len() {
 124             if bytes[i] == 0 {
 125                 return Err(CStrConvertError::InteriorNul);
 126             }
 127             i += 1;
 128         }
 129         // SAFETY: We just checked that all properties hold.
 130         Ok(unsafe { Self::from_bytes_with_nul_unchecked(bytes) })
 131     }
 132
 133     /// Creates a [`CStr`] from a `[u8]` without performing any additional
 134     /// checks.
 135     ///
 136     /// # Safety
 137     ///
 138     /// `bytes` *must* end with a `NUL` byte, and should only have a single
 139     /// `NUL` byte (or the string will be truncated).
 140     #[inline]
 141     pub const unsafe fn from_bytes_with_nul_unchecked(bytes: &[u8]) -> &CStr {
 142         // SAFETY: Properties of `bytes` guaranteed by the safety precondition.
 143         unsafe { core::mem::transmute(bytes) }
 144     }
 145
 146     /// Returns a C pointer to the string.
 147     #[inline]
 148     pub const fn as_char_ptr(&self) -> *const core::ffi::c_char {
 149         self.0.as_ptr() as _
 150     }
 151
 152     /// Convert the string to a byte slice without the trailing 0 byte.
 153     #[inline]
 154     pub fn as_bytes(&self) -> &[u8] {
 155         &self.0[..self.len()]
 156     }
 157
 158     /// Convert the string to a byte slice containing the trailing 0 byte.
 159     #[inline]
 160     pub const fn as_bytes_with_nul(&self) -> &[u8] {
 161         &self.0
 162     }
 163
 164     /// Yields a [`&str`] slice if the [`CStr`] contains valid UTF-8.
 165     ///
 166     /// If the contents of the [`CStr`] are valid UTF-8 data, this
 167     /// function will return the corresponding [`&str`] slice. Otherwise,
 168     /// it will return an error with details of where UTF-8 validation failed.
 169     ///
 170     /// # Examples
 171     ///
 172     /// ```
 173     /// # use kernel::str::CStr;
 174     /// let cstr = CStr::from_bytes_with_nul(b"foo\0").unwrap();
 175     /// assert_eq!(cstr.to_str(), Ok("foo"));
 176     /// ```
 177     #[inline]
 178     pub fn to_str(&self) -> Result<&str, core::str::Utf8Error> {
 179         core::str::from_utf8(self.as_bytes())
 180     }
 181
 182     /// Unsafely convert this [`CStr`] into a [`&str`], without checking for
 183     /// valid UTF-8.
 184     ///
 185     /// # Safety
 186     ///
 187     /// The contents must be valid UTF-8.
 188     ///
 189     /// # Examples
 190     ///
 191     /// ```
 192     /// # use kernel::c_str;
 193     /// # use kernel::str::CStr;
 194     /// // SAFETY: String literals are guaranteed to be valid UTF-8
 195     /// // by the Rust compiler.
 196     /// let bar = c_str!("ツ");
 197     /// assert_eq!(unsafe { bar.as_str_unchecked() }, "ツ");
 198     /// ```
 199     #[inline]
 200     pub unsafe fn as_str_unchecked(&self) -> &str {
 201         unsafe { core::str::from_utf8_unchecked(self.as_bytes()) }
 202     }
 203
 204     /// Convert this [`CStr`] into a [`CString`] by allocating memory and
 205     /// copying over the string data.
 206     pub fn to_cstring(&self) -> Result<CString, AllocError> {
 207         CString::try_from(self)
 208     }
 209 }
 210
 211 impl fmt::Display for CStr {
 212     /// Formats printable ASCII characters, escaping the rest.
 213     ///
 214     /// ```
 215     /// # use kernel::c_str;
 216     /// # use kernel::fmt;
 217     /// # use kernel::str::CStr;
 218     /// # use kernel::str::CString;
 219     /// let penguin = c_str!("🐧");
 220     /// let s = CString::try_from_fmt(fmt!("{}", penguin)).unwrap();
 221     /// assert_eq!(s.as_bytes_with_nul(), "\\xf0\\x9f\\x90\\xa7\0".as_bytes());
 222     ///
 223     /// let ascii = c_str!("so \"cool\"");
 224     /// let s = CString::try_from_fmt(fmt!("{}", ascii)).unwrap();
 225     /// assert_eq!(s.as_bytes_with_nul(), "so \"cool\"\0".as_bytes());
 226     /// ```
 227     fn fmt(&self, f: &mut fmt::Formatter<'_>) -> fmt::Result {
 228         for &c in self.as_bytes() {
 229             if (0x20..0x7f).contains(&c) {
 230                 // Printable character.
 231                 f.write_char(c as char)?;
 232             } else {
 233                 write!(f, "\\x{:02x}", c)?;
 234             }
 235         }
 236         Ok(())
 237     }
 238 }
 239
 240 impl fmt::Debug for CStr {
 241     /// Formats printable ASCII characters with a double quote on either end, escaping the rest.
 242     ///
 243     /// ```
 244     /// # use kernel::c_str;
 245     /// # use kernel::fmt;
 246     /// # use kernel::str::CStr;
 247     /// # use kernel::str::CString;
 248     /// let penguin = c_str!("🐧");
 249     /// let s = CString::try_from_fmt(fmt!("{:?}", penguin)).unwrap();
 250     /// assert_eq!(s.as_bytes_with_nul(), "\"\\xf0\\x9f\\x90\\xa7\"\0".as_bytes());
 251     ///
 252     /// // Embedded double quotes are escaped.
 253     /// let ascii = c_str!("so \"cool\"");
 254     /// let s = CString::try_from_fmt(fmt!("{:?}", ascii)).unwrap();
 255     /// assert_eq!(s.as_bytes_with_nul(), "\"so \\\"cool\\\"\"\0".as_bytes());
 256     /// ```
 257     fn fmt(&self, f: &mut fmt::Formatter<'_>) -> fmt::Result {
 258         f.write_str("\"")?;
 259         for &c in self.as_bytes() {
 260             match c {
 261                 // Printable characters.
 262                 b'\"' => f.write_str("\\\"")?,
 263                 0x20..=0x7e => f.write_char(c as char)?,
 264                 _ => write!(f, "\\x{:02x}", c)?,
 265             }
 266         }
 267         f.write_str("\"")
 268     }
 269 }
 270
 271 impl AsRef<BStr> for CStr {
 272     #[inline]
 273     fn as_ref(&self) -> &BStr {
 274         self.as_bytes()
 275     }
 276 }
 277
 278 impl Deref for CStr {
 279     type Target = BStr;
 280
 281     #[inline]
 282     fn deref(&self) -> &Self::Target {
 283         self.as_bytes()
 284     }
 285 }
 286
 287 impl Index<ops::RangeFrom<usize>> for CStr {
 288     type Output = CStr;
 289
 290     #[inline]
 291     fn index(&self, index: ops::RangeFrom<usize>) -> &Self::Output {
 292         // Delegate bounds checking to slice.
 293         // Assign to _ to mute clippy's unnecessary operation warning.
 294         let _ = &self.as_bytes()[index.start..];
 295         // SAFETY: We just checked the bounds.
 296         unsafe { Self::from_bytes_with_nul_unchecked(&self.0[index.start..]) }
 297     }
 298 }
 299
 300 impl Index<ops::RangeFull> for CStr {
 301     type Output = CStr;
 302
 303     #[inline]
 304     fn index(&self, _index: ops::RangeFull) -> &Self::Output {
 305         self
 306     }
 307 }
 308
 309 mod private {
 310     use core::ops;
 311
 312     // Marker trait for index types that can be forward to `BStr`.
 313     pub trait CStrIndex {}
 314
 315     impl CStrIndex for usize {}
 316     impl CStrIndex for ops::Range<usize> {}
 317     impl CStrIndex for ops::RangeInclusive<usize> {}
 318     impl CStrIndex for ops::RangeToInclusive<usize> {}
 319 }
 320
 321 impl<Idx> Index<Idx> for CStr
 322 where
 323     Idx: private::CStrIndex,
 324     BStr: Index<Idx>,
 325 {
 326     type Output = <BStr as Index<Idx>>::Output;
 327
 328     #[inline]
 329     fn index(&self, index: Idx) -> &Self::Output {
 330         &self.as_bytes()[index]
 331     }
 332 }
 333
 334 /// Creates a new [`CStr`] from a string literal.
 335 ///
 336 /// The string literal should not contain any `NUL` bytes.
 337 ///
 338 /// # Examples
 339 ///
 340 /// ```
 341 /// # use kernel::c_str;
 342 /// # use kernel::str::CStr;
 343 /// const MY_CSTR: &CStr = c_str!("My awesome CStr!");
 344 /// ```
 345 #[macro_export]
 346 macro_rules! c_str {
 347     ($str:expr) => {{
 348         const S: &str = concat!($str, "\0");
 349         const C: &$crate::str::CStr = match $crate::str::CStr::from_bytes_with_nul(S.as_bytes()) {
 350             Ok(v) => v,
 351             Err(_) => panic!("string contains interior NUL"),
 352         };
 353         C
 354     }};
 355 }
 356
 357 #[cfg(test)]
 358 mod tests {
 359     use super::*;
 360
 361     #[test]
 362     fn test_cstr_to_str() {
 363         let good_bytes = b"\xf0\x9f\xa6\x80\0";
 364         let checked_cstr = CStr::from_bytes_with_nul(good_bytes).unwrap();
 365         let checked_str = checked_cstr.to_str().unwrap();
 366         assert_eq!(checked_str, "🦀");
 367     }
 368
 369     #[test]
 370     #[should_panic]
 371     fn test_cstr_to_str_panic() {
 372         let bad_bytes = b"\xc3\x28\0";
 373         let checked_cstr = CStr::from_bytes_with_nul(bad_bytes).unwrap();
 374         checked_cstr.to_str().unwrap();
 375     }
 376
 377     #[test]
 378     fn test_cstr_as_str_unchecked() {
 379         let good_bytes = b"\xf0\x9f\x90\xA7\0";
 380         let checked_cstr = CStr::from_bytes_with_nul(good_bytes).unwrap();
 381         let unchecked_str = unsafe { checked_cstr.as_str_unchecked() };
 382         assert_eq!(unchecked_str, "🐧");
 383     }
 384 }
 385
 386 /// Allows formatting of [`fmt::Arguments`] into a raw buffer.
 387 ///
 388 /// It does not fail if callers write past the end of the buffer so that they can calculate the
 389 /// size required to fit everything.
 390 ///
 391 /// # Invariants
 392 ///
 393 /// The memory region between `pos` (inclusive) and `end` (exclusive) is valid for writes if `pos`
 394 /// is less than `end`.
 395 pub(crate) struct RawFormatter {
 396     // Use `usize` to use `saturating_*` functions.
 397     beg: usize,
 398     pos: usize,
 399     end: usize,
 400 }
 401
 402 impl RawFormatter {
 403     /// Creates a new instance of [`RawFormatter`] with an empty buffer.
 404     fn new() -> Self {
 405         // INVARIANT: The buffer is empty, so the region that needs to be writable is empty.
 406         Self {
 407             beg: 0,
 408             pos: 0,
 409             end: 0,
 410         }
 411     }
 412
 413     /// Creates a new instance of [`RawFormatter`] with the given buffer pointers.
 414     ///
 415     /// # Safety
 416     ///
 417     /// If `pos` is less than `end`, then the region between `pos` (inclusive) and `end`
 418     /// (exclusive) must be valid for writes for the lifetime of the returned [`RawFormatter`].
 419     pub(crate) unsafe fn from_ptrs(pos: *mut u8, end: *mut u8) -> Self {
 420         // INVARIANT: The safety requirements guarantee the type invariants.
 421         Self {
 422             beg: pos as _,
 423             pos: pos as _,
 424             end: end as _,
 425         }
 426     }
 427
 428     /// Creates a new instance of [`RawFormatter`] with the given buffer.
 429     ///
 430     /// # Safety
 431     ///
 432     /// The memory region starting at `buf` and extending for `len` bytes must be valid for writes
 433     /// for the lifetime of the returned [`RawFormatter`].
 434     pub(crate) unsafe fn from_buffer(buf: *mut u8, len: usize) -> Self {
 435         let pos = buf as usize;
 436         // INVARIANT: We ensure that `end` is never less then `buf`, and the safety requirements
 437         // guarantees that the memory region is valid for writes.
 438         Self {
 439             pos,
 440             beg: pos,
 441             end: pos.saturating_add(len),
 442         }
 443     }
 444
 445     /// Returns the current insert position.
 446     ///
 447     /// N.B. It may point to invalid memory.
 448     pub(crate) fn pos(&self) -> *mut u8 {
 449         self.pos as _
 450     }
 451
 452     /// Return the number of bytes written to the formatter.
 453     pub(crate) fn bytes_written(&self) -> usize {
 454         self.pos - self.beg
 455     }
 456 }
 457
 458 impl fmt::Write for RawFormatter {
 459     fn write_str(&mut self, s: &str) -> fmt::Result {
 460         // `pos` value after writing `len` bytes. This does not have to be bounded by `end`, but we
 461         // don't want it to wrap around to 0.
 462         let pos_new = self.pos.saturating_add(s.len());
 463
 464         // Amount that we can copy. `saturating_sub` ensures we get 0 if `pos` goes past `end`.
 465         let len_to_copy = core::cmp::min(pos_new, self.end).saturating_sub(self.pos);
 466
 467         if len_to_copy > 0 {
 468             // SAFETY: If `len_to_copy` is non-zero, then we know `pos` has not gone past `end`
 469             // yet, so it is valid for write per the type invariants.
 470             unsafe {
 471                 core::ptr::copy_nonoverlapping(
 472                     s.as_bytes().as_ptr(),
 473                     self.pos as *mut u8,
 474                     len_to_copy,
 475                 )
 476             };
 477         }
 478
 479         self.pos = pos_new;
 480         Ok(())
 481     }
 482 }
 483
 484 /// Allows formatting of [`fmt::Arguments`] into a raw buffer.
 485 ///
 486 /// Fails if callers attempt to write more than will fit in the buffer.
 487 pub(crate) struct Formatter(RawFormatter);
 488
 489 impl Formatter {
 490     /// Creates a new instance of [`Formatter`] with the given buffer.
 491     ///
 492     /// # Safety
 493     ///
 494     /// The memory region starting at `buf` and extending for `len` bytes must be valid for writes
 495     /// for the lifetime of the returned [`Formatter`].
 496     pub(crate) unsafe fn from_buffer(buf: *mut u8, len: usize) -> Self {
 497         // SAFETY: The safety requirements of this function satisfy those of the callee.
 498         Self(unsafe { RawFormatter::from_buffer(buf, len) })
 499     }
 500 }
 501
 502 impl Deref for Formatter {
 503     type Target = RawFormatter;
 504
 505     fn deref(&self) -> &Self::Target {
 506         &self.0
 507     }
 508 }
 509
 510 impl fmt::Write for Formatter {
 511     fn write_str(&mut self, s: &str) -> fmt::Result {
 512         self.0.write_str(s)?;
 513
 514         // Fail the request if we go past the end of the buffer.
 515         if self.0.pos > self.0.end {
 516             Err(fmt::Error)
 517         } else {
 518             Ok(())
 519         }
 520     }
 521 }
 522
 523 /// An owned string that is guaranteed to have exactly one `NUL` byte, which is at the end.
 524 ///
 525 /// Used for interoperability with kernel APIs that take C strings.
 526 ///
 527 /// # Invariants
 528 ///
 529 /// The string is always `NUL`-terminated and contains no other `NUL` bytes.
 530 ///
 531 /// # Examples
 532 ///
 533 /// ```
 534 /// use kernel::{str::CString, fmt};
 535 ///
 536 /// let s = CString::try_from_fmt(fmt!("{}{}{}", "abc", 10, 20)).unwrap();
 537 /// assert_eq!(s.as_bytes_with_nul(), "abc1020\0".as_bytes());
 538 ///
 539 /// let tmp = "testing";
 540 /// let s = CString::try_from_fmt(fmt!("{tmp}{}", 123)).unwrap();
 541 /// assert_eq!(s.as_bytes_with_nul(), "testing123\0".as_bytes());
 542 ///
 543 /// // This fails because it has an embedded `NUL` byte.
 544 /// let s = CString::try_from_fmt(fmt!("a\0b{}", 123));
 545 /// assert_eq!(s.is_ok(), false);
 546 /// ```
 547 pub struct CString {
 548     buf: Vec<u8>,
 549 }
 550
 551 impl CString {
 552     /// Creates an instance of [`CString`] from the given formatted arguments.
 553     pub fn try_from_fmt(args: fmt::Arguments<'_>) -> Result<Self, Error> {
 554         // Calculate the size needed (formatted string plus `NUL` terminator).
 555         let mut f = RawFormatter::new();
 556         f.write_fmt(args)?;
 557         f.write_str("\0")?;
 558         let size = f.bytes_written();
 559
 560         // Allocate a vector with the required number of bytes, and write to it.
 561         let mut buf = Vec::try_with_capacity(size)?;
 562         // SAFETY: The buffer stored in `buf` is at least of size `size` and is valid for writes.
 563         let mut f = unsafe { Formatter::from_buffer(buf.as_mut_ptr(), size) };
 564         f.write_fmt(args)?;
 565         f.write_str("\0")?;
 566
 567         // SAFETY: The number of bytes that can be written to `f` is bounded by `size`, which is
 568         // `buf`'s capacity. The contents of the buffer have been initialised by writes to `f`.
 569         unsafe { buf.set_len(f.bytes_written()) };
 570
 571         // Check that there are no `NUL` bytes before the end.
 572         // SAFETY: The buffer is valid for read because `f.bytes_written()` is bounded by `size`
 573         // (which the minimum buffer size) and is non-zero (we wrote at least the `NUL` terminator)
 574         // so `f.bytes_written() - 1` doesn't underflow.
 575         let ptr = unsafe { bindings::memchr(buf.as_ptr().cast(), 0, (f.bytes_written() - 1) as _) };
 576         if !ptr.is_null() {
 577             return Err(EINVAL);
 578         }
 579
 580         // INVARIANT: We wrote the `NUL` terminator and checked above that no other `NUL` bytes
 581         // exist in the buffer.
 582         Ok(Self { buf })
 583     }
 584 }
 585
 586 impl Deref for CString {
 587     type Target = CStr;
 588
 589     fn deref(&self) -> &Self::Target {
 590         // SAFETY: The type invariants guarantee that the string is `NUL`-terminated and that no
 591         // other `NUL` bytes exist.
 592         unsafe { CStr::from_bytes_with_nul_unchecked(self.buf.as_slice()) }
 593     }
 594 }
 595
 596 impl<'a> TryFrom<&'a CStr> for CString {
 597     type Error = AllocError;
 598
 599     fn try_from(cstr: &'a CStr) -> Result<CString, AllocError> {
 600         let mut buf = Vec::new();
 601
 602         buf.try_extend_from_slice(cstr.as_bytes_with_nul())
 603             .map_err(|_| AllocError)?;
 604
 605         // INVARIANT: The `CStr` and `CString` types have the same invariants for
 606         // the string data, and we copied it over without changes.
 607         Ok(CString { buf })
 608     }
 609 }
 610
 611 impl fmt::Debug for CString {
 612     fn fmt(&self, f: &mut fmt::Formatter<'_>) -> fmt::Result {
 613         fmt::Debug::fmt(&**self, f)
 614     }
 615 }
 616
 617 /// A convenience alias for [`core::format_args`].
 618 #[macro_export]
 619 macro_rules! fmt {
 620     ($($f:tt)*) => ( core::format_args!($($f)*) )
 621 }