Краткий ответ

Rust запрещает возвращать ссылку на локальное значение, потому что после завершения функции это значение уничтожается, а ссылка стала бы висячей. Проверка заимствований сопоставляет время жизни ссылки с временем жизни объекта и требует, чтобы объект жил не меньше возвращаемой ссылки.

Вернуть нужно либо само значение, передав владение вызывающему коду, либо ссылку на данные, которыми владеет вызывающая сторона или другой объект с достаточным временем жизни.

Исторический контекст

В языках с ручным управлением памятью ошибка часто возникает, когда функция возвращает адрес локальной переменной: память уже освобождена или повторно используется, но указатель формально остаётся доступным. Это приводит к неопределённому поведению, повреждению данных и трудно воспроизводимым сбоям.

Rust решает эту проблему статически: владение, заимствование и времена жизни проверяются компилятором без обязательного сборщика мусора. Цена подхода — необходимость явно выбирать, кто владеет возвращаемыми данными.

Постановка проблемы

Локальная переменная функции существует только до выхода из этой функции. Если вернуть ссылку на неё, вызывающий код получит доступ к объекту, которого больше нет.

Компилятор должен отличать безопасное заимствование входных данных от опасного заимствования локального результата. Нельзя исправить проблему простым указанием более длинного времени жизни: аннотация описывает доказуемое отношение между временами жизни, но не продлевает существование объекта.

Подробное решение

При проверке возвращаемой ссылки Rust анализирует, из какого значения она получена. Если источник — локальная переменная, её время жизни заканчивается при выходе из функции, поэтому оно короче времени жизни результата, который может использовать вызывающий код.

fn invalid_name() -> &str {
    let name = String::from("Ada");
    &name
}

fn owned_name() -> String {
    String::from("Ada")
}

fn borrowed_name(name: &str) -> &str {
    name
}

invalid_name не компилируется: name уничтожается при завершении функции. owned_name передаёт владение строкой вызывающему коду, а borrowed_name возвращает ссылку на входные данные, чьё время жизни определяется вызывающей стороной.

Важно, что размещение значения в куче само по себе не решает проблему. Объект в Box также будет уничтожен при уничтожении владельца; безопасно вернуть можно либо сам Box, либо ссылку на объект, чей владелец гарантированно живёт достаточно долго.

Время жизни не является командой «держать объект дольше». Это параметр проверки корректности: компилятор убеждается, что каждый путь использования ссылки укладывается во время жизни её источника. Исключения вроде намеренной утечки памяти могут создать данные с практически постоянным временем жизни, но это специальный компромисс с потерей освобождения памяти, а не обычный способ возврата результата.

Ситуация из практики

Сервис форматирует диагностическое имя и должен вернуть его вызывающему коду. Вариант с возвращаемой ссылкой на локальную String компилятор отклонит: после возврата функции буфер строки больше не принадлежит существующему владельцу.

Можно вернуть String. Это безопасно и просто, но требует передачи владения и потенциального выделения памяти. Можно принимать готовую строку от вызывающего кода и возвращать срез: такой вариант избегает копирования, но ограничивает API временем жизни входных данных и не подходит, если результат создаётся внутри функции.

Практичное решение — возвращать String, когда функция создаёт независимый результат, и &str, когда она лишь предоставляет представление уже существующих данных. Такой выбор явно выражает владение и предотвращает висячие ссылки без ручного управления памятью.

Что кандидаты часто упускают

1. Вопрос: Продлит ли аннотация времени жизни возвращаемой ссылки существование локальной переменной?

Ответ: Нет. Аннотация времени жизни не управляет памятью и не меняет момент уничтожения объекта. Она задаёт отношение между уже существующими временами жизни; если локальное значение уничтожается при выходе из функции, никакая обычная аннотация не сделает ссылку на него безопасной.

2. Вопрос: Почему ссылка на аргумент функции может быть возвращена, хотя ссылка на локальную переменную — нет?

Ответ: Аргумент принадлежит вызывающему коду либо передан ему с гарантированным временем жизни. Возвращаемая ссылка на аргумент допустима, если она не переживает этот аргумент; при обычном elision Rust связывает время жизни возвращаемой ссылки с временем жизни соответствующего входного заимствования. Локальная переменная, напротив, гарантированно прекращает существование раньше момента, когда вызывающий код мог бы использовать результат.

3. Вопрос: Почему возврат значения вместо ссылки устраняет проблему, даже если значение создаётся локально?

Ответ: При возврате значения происходит передача владения, а не сохранение заимствования локального объекта. Компилятор может переместить значение или оптимизировать это перемещение, но логически после выхода функции существует новый владелец результата, отвечающий за его уничтожение. Поэтому срок жизни результата определяется местом его использования, а не стековым кадром вызванной функции.