为什么需要它#

Rust 默认的移动语义是 memcpy。一个自引用结构体，如果内部有一个指针指向自己的字段，移动之后指针就悬垂了：

1
struct SelfRef {
2
    data: String,
3
    ptr: *const u8, // 指向 data 内部的某个字节
4
}

编译器无法证明 ptr 指向的是自己，移动 SelfRef 会让 ptr 失效。Pin 的作用是让这种类型在构造之后不能通过安全接口被移动，从而允许 unsafe 代码依赖“地址不变”这个前提。

Unpin 是逃生舱#

绝大多数类型都实现了 Unpin，意思是“移动它没关系”。对 Unpin 类型，Pin<&mut T> 可以安全地拿到 &mut T：

1
fn get_mut<T: Unpin>(pin: Pin<&mut T>) -> &mut T {
2
    // 对 Unpin 类型，Pin 不提供额外保证，因此可以拆掉
3
    unsafe { Pin::get_unchecked_mut(pin) }
4
}

一个类型是否 Unpin 是自动推导的：只要所有字段都 Unpin，它自己就是 Unpin。PhantomPinned 是一个反例标记，加上它可以让结构体变成 !Unpin：

1
use std::marker::PhantomPinned;
2

3
struct SelfRef {
4
    data: String,
5
    ptr: *const u8,
6
    _pin: PhantomPinned,
7
}

结构体钉住与投影#

Pin<&mut SelfRef> 只钉住了最外层。如果 SelfRef 的某个字段需要被单独访问，必须做结构钉住投影：对 !Unpin 的字段，投影出的 Pin<&mut Field> 才能继续保持“地址不变”的保证。手写投影需要 unsafe，这也是 pin-project 这类 crate 存在的原因。

1
impl SelfRef {
2
    fn data(self: Pin<&mut Self>) -> Pin<&mut String> {
3
        // 字段 data 本身是 Unpin，可以直接投影
4
        unsafe { self.map_unchecked_mut(|s| &mut s.data) }
5
    }
6
}

如果字段是 !Unpin，这样投影仍然是安全的，因为外层已经被钉住，字段地址不会变；但如果字段是 Unpin，Pin<&mut Field> 的保证反而更弱，需要看具体投影规则。

async future 为什么是 !Unpin#

async fn 展开成一个状态机，状态里保存着跨 await 仍然存活的局部变量。如果某个局部变量借用了同一个 future 内的另一块数据，状态机就变成了自引用。因此编译器把这个状态机标记为 !Unpin，Future::poll 接收的是 Pin<&mut Self>。

这也解释了 Box::pin：把 future 放进堆上的 Box，地址固定，之后可以安全地 poll。而 tokio::spawn 要求 Future + Send + 'static，内部就是把它 Box::pin 起来。

常见错误#

1. 以为 Pin<&mut T> 钉住了整个值。 如果 T: Unpin，随时可以 Pin::into_inner 拿回 &mut T 并移动它。
2. 在外面套一层 Pin 就够了。 自引用字段必须通过结构钉住投影访问，否则安全代码可以通过 DerefMut 移动内层。
3. 用 mem::replace 绕过。 对 !Unpin 类型，Pin::get_mut 不可用；一旦你用 unsafe 拿到 &mut，就自己承担了不移动的证明义务。

结论#

Pin 是一个关于地址稳定性的契约，不是物理锁。它把“不能移动”的证明责任交给类型系统，把实际保证交给 unsafe 的边界。写自引用结构体时，先问清楚哪些字段需要钉住、谁负责投影，再决定要不要引入 PhantomPinned。