Rust 1.100.0 stabilise le type never et ajoute un âge minimal aux dépendances Cargo

Ce qui est nouveau

L’équipe Rust annonce la disponibilité de Rust 1.100.0 sur le canal stable. Cette version stabilise le type never, noté !, ainsi que le cœur de l’interface de programmation (API) Allocator. Elle introduit aussi DropGuard, un mécanisme permettant d’exécuter une fonction à la sortie d’une portée, notamment pour annuler des modifications lorsqu’une opération échoue.

Cargo, l’outil de construction et de gestion des dépendances de Rust, ajoute le signalement des dépendances inutilisées et une option d’âge minimal de publication, appelée min-publish-age. Selon Phoronix, ce délai permet d’écarter temporairement des versions de paquets trop récentes.

Ce qui change et pourquoi

Le type never représente un calcul qui ne produit jamais de valeur, par exemple une expression qui interrompt le déroulement du programme. Il pouvait déjà apparaître comme type de retour d’une fonction ; il peut désormais être nommé partout où un type est attendu. L’équipe Rust précise que cette évolution comporte un changement de compatibilité susceptible d’affecter certains programmes utilisant les anciennes éditions du langage.

La stabilisation du cœur d’Allocator permet aux bibliothèques de définir des allocateurs de mémoire personnalisés utilisables avec Vec et Box. Elle ne couvre pas encore toutes les collections ni tous les types de pointeurs, précise l’équipe Rust.

L’âge minimal de Cargo répond à un autre problème : l’intégration de paquets malveillants peu après leur publication. Phoronix explique que cette période d’attente vise à laisser davantage de temps à leur détection. Il s’agit d’un filtre temporel, et non d’une vérification du contenu des dépendances.

Pourquoi c’est important

La version élargit les possibilités accessibles avec le compilateur stable, tout en ajoutant un contrôle sur l’adoption des dépendances. Le risque auquel répond ce contrôle est concret : en septembre 2026, les équipes crates.io et de réponse aux incidents de Rust ont signalé une campagne visant les comptes et les appareils de mainteneurs pour publier des logiciels malveillants. Elles ont également rappelé la compromission temporaire du paquet arrayref, sans établir que tous ces incidents relevaient d’une même campagne.

Un délai de publication ne démontre toutefois pas qu’un paquet est sain. Cette fonction limite l’exposition aux publications les plus récentes, sans supprimer le risque de compromission de la chaîne d’approvisionnement logicielle.