model-checking/kani

【主题】 Kani 是 Rust 的模型检查器，解决传统测试无法穷举状态空间、难以捕捉未定义行为和深层边界 Bug 的问题。

【核心分点总结】

穷举验证：不同于普通测试只能覆盖特定输入，Kani 穷举所有可能的输入和状态，确保逻辑严密无死角。

未定义行为检测：针对 Rust 的 unsafe 代码或潜在 UB，Kani 能在数学层面证明其是否存在，打破“未定义即安全”的错觉。

无缝集成：作为 Rust 工具链的扩展，只需在测试代码中添加 #[kani::proof] 即可运行，无需重写业务逻辑。

CBMC 引擎：底层依托成熟的 CBMC 有界模型检查引擎，提供强大的 SMT 求解能力，轻松验证复杂约束。

【行动指南】

当你编写包含 unsafe 代码块或复杂并发逻辑的 Rust 项目时，用 Kani 替代或补充单元测试，捕捉隐藏的未定义行为。

上手只需两步：安装 Kani，然后在目标函数上添加 #[kani::proof] 并运行 cargo kani，无需额外配置。

不要试图对整个大型项目运行 Kani，而是针对核心算法或关键安全模块进行局部验证，以控制求解时间。

【金句总述】 用数学的穷举代替测试的猜测，让 Rust 的安全承诺在代码中真正落地。

【故事性收尾】 深夜，你不再因为一个偶发的 panic 而满头大汗地复现随机输入，也不再对着 unsafe 代码块里潜在的 UB 提心吊胆。Kani 已经替你走完了所有的岔路，你只需看着终端里绿色的“SUCCESS”，安心合上电脑，确信今夜无 Bug。