في نهاية ٠١-ب كتبتَ قائمة أمنيات: "أن أُري الدالةَ القيمةَ دون تمليكها". هذا الإقليم يمنحك الأمنية — ثم يريك لماذا كادت الأمنية نفسها أن تعيد كل كوارث C من الشباك، وما القيد الوحيد الذي أنقذها.

الدرس ١: اشتقاق القانون

اللغز التأسيسي

int *arr = malloc(4 * sizeof(int));
int *third = &arr[2];          // مؤشر لعنصر داخل المصفوفة
arr = realloc(arr, 1000000);   // قد ينقل الـ buffer كاملًا لعنوان جديد
*third = 7;                    // ...إلى أين يكتب هذا السطر الآن؟

for (const x of list) {
    if (bad(x)) list.push(fix(x));   // تعديل بنية أثناء المرور عليها
}

القانون

كل bug ذاكرة تقريبًا — وأنت الآن مؤهل لمراجعة أرشيفك من segfaults هولبرتون والتحقق — هو لحظة اجتمع فيها alias (أكثر من طريق للبيانات) مع mutation (أحد الطرق غيّر البيانات). المؤشر المتدلي بعد realloc: alias قديم + كاتب حرّك البيانات. iterator invalidation: قارئ ماشٍ على البنية + كاتب يعدّلها. القانون لا يمنع الأعراض واحدًا واحدًا — يمنع الاجتماع الذي تتولد منه كلها.

وهنا يتضح أن قرار الإقليم ٠٠ (الثبات افتراضًا) لم يكن ذوقًا: لغة يكون التعديل فيها معلَنًا في كل موضع هي وحدها التي تستطيع أصلًا أن تحاسب على هذا القانون.

الآلية: الترخيصان

fn measure(s: &String) -> usize { s.len() }      // استعارة مشتركة: انظر ولا تلمس
fn shout(s: &mut String) { s.push_str("!!!"); }  // استعارة حصرية: عدّل، وأنت وحدك

let mut msg = String::from("hi");
let n = measure(&msg);      // المالك أعار قراءةً — يستعيدها بعد النداء
shout(&mut msg);            // المالك أعار حصريًا

• &T — قراءة مشتركة. انسخها كما شئت (&T نفسها من أنواع Copy — الآن تعرف لماذا: نسخ ترخيص قراءة لا يهدد شيئًا).
• &mut T — تعديل حصري. لا يجوز وجود أي مرجع آخر — ولا حتى & — ما دام حيًّا.
• ولا يجوز &mut أصلًا إلا لقيمة أعلنها مالكها mut — السلسلة كاملة من التعريف إلى الاستعمال تصرّح بنية التعديل.

جرّب الكسر بنفسك (افعلها فعلًا — المطلوب أن تقرأ الرسالتين):

let mut v = vec![1, 2, 3];
let r = &v[0];
v.push(4);            // error[E0502]: cannot borrow `v` as mutable
println!("{r}");      //   because it is also borrowed as immutable

توقف عند هذه تحديدًا. هذا هو مقطع الـ JS أعلاه، وهذا هو realloc — سطر push قد يعيد تخصيص الـ buffer وينقله، فيصبح r متدليًا. المترجم لم "يتضايق من أسلوبك" — لقد منع use-after-free فعليًا كان سيحدث لو كبرت السعة. من الآن فصاعدًا، كل مرة يرفض فيها borrow checker كودك، مهمتك الأولى ليست إرضاءه — بل إيجاد سيناريو الكارثة الذي رآه ولم تره. هو موجود في الغالبية الساحقة من الحالات.

حدود دقّة القانون: NLL

الترخيص لا يمتد لنهاية النطاق {} بل لآخر استعمال فعلي (اسمها non-lexical lifetimes — المترجم يتتبع التدفق لا الأقواس):

let mut v = vec![1, 2, 3];
let r = &v[0];
println!("{r}");   // آخر استعمال لـ r — الترخيص ينتهي هنا
v.push(4);         // مسموح

قدّم هذه المعلومة في نموذجك الذهني مبكرًا: نصف "صراعات المبتدئين مع الـ borrow checker" التي تقرأ عنها في الإنترنت تعود لنسخ ما قبل 2018 حين كان الترخيص يمتد للقوس.

الدرس ٢: الشرائح — استعارة جزء

اللغز

الآلية

الشريحة (slice): مرجع إلى جزء متصل — مؤشر + طول (fat pointer، ضعف حجم مؤشر C العادي، والسبب بديهي لك):

fn first_word(s: &str) -> &str {
    match s.find(' ') {
        Some(i) => &s[..i],
        None => s,
    }
}

• &[T] شريحة من مصفوفة/Vec، و&str شريحة نص — هي نفسها استعارة، فتخضع للبديهية الثانية كاملة: ما دامت الشريحة حية، الأصل مجمّد عن التعديل. العقد الهش الذي قلقتَ منه في اللغز صار محروسًا بالمترجم.
• الآن تنحل بوابة الإقليم ٠٠: String مقابل &str. بعقلية C: String هي {ptr, len, capacity} تملك buffer على الـ heap وتحرّره؛ &str هي {ptr, len} نافذة قراءة على بايتات يملكها غيرها — literal في .rodata (ولهذا سترى لها 'static لاحقًا)، أو جزء من String حية.
• القاعدة الاصطلاحية الأولى في اللغة: المعاملات تستقبل &str لا &String — الأعم يقبل الاثنين. (كيف يمر &String حيث يُطلب &str؟ هناك آلية خفية تفعلها — بذرة تُحصد في الإقليم ٧.)

التوقيع كعقد كامل

لاحظ ما صار يقوله توقيع الدالة في هذه اللغة، بلا قراءة جسمها:

في C كانت هذه المعلومات في التوثيق أو في رأس كاتب الكود. هنا هي في النوع، والكذب فيها لا يُترجَم. هذا ما يعنيه الناس فعليًا حين يقولون "التوقيع في Rust يغني عن التوثيق".

الجدار الغامض

جرّب هذا واقرأ الرسالة:

fn make() -> &str {
    let s = String::from("hi");
    &s
}

اشتقاق الرفض عندك كامل: s تموت بنهاية الدالة (البديهية الأولى)، والمرجع سينجو منها — dangling reference بالكتالوج. لكن اقرأ الرسالة نفسها: المترجم لا يقول "dangling" — يقول شيئًا عن missing lifetime specifier ويقترح &'static str ويتمتم عن 'a. المترجم يفكر بمصطلح لم نشرحه: لكل مرجع شيء اسمه lifetime، وهو يحسبه عنك بصمت منذ الإقليم ٠١. علّق هذا الخيط — إقليم كامل قادم يسحبه.

الألغاز

// (١)
let mut s = String::from("hi");
let a = &s;
let b = &mut s;
println!("{a}");

// (٢)
let mut v = vec![1, 2, 3];
for x in &v {
    if *x == 2 { v.push(99); }
}

// (٣)
let r;
{
    let x = 5;
    r = &x;
}
println!("{r}");

// (٤)
let mut s = String::from("hello world");
let w = first_word(&s);   // من الدرس ٢
s.clear();
println!("{w}");

// (٥)
fn swap_first(a: &mut Vec<i32>) {
    let x = &a[0];
    a[0] = a[1];        // هل هذا فعلًا خطر؟ فكّر قبل أن تجيب —
    println!("{x}");    // ثم فكّر: كيف يعرف المترجم حدود ما يعرفه؟
}

الخلاصة

اكتمل الدستور. بديهيتان فقط:

1. لكل قيمة مالك واحد (الإقليم ٠١) — تحل أسئلة من يحرّر ومتى.
2. مشاركة XOR تعديل (هذا الإقليم) — تحل أسئلة من يرى ماذا أثناء التغيّر.

كل ما تبقى في اللغة — كل ما ستقابله من هنا حتى نهاية المنهج — إجابات على سؤال واحد متكرر: "كيف نعيش حياة برمجية كاملة تحت هذين القانونين؟" حين تبدو لك ميزة قادمة غريبة، أرجعها إليهما وستجدها مبرهنة.