rustc插件不适合敏感字符串剔除，因rust 1.70+已移除传统插件机制，early/latelintpass仅能报告无法修改ast；使用rustc_private接口不稳定且不可用于稳定通道；实际应采用build.rs预处理源码，通过正则清洗后生成临时文件供编译，再结合const字节数组定义与链接时strip及二进制验证确保安全。

为什么 rustc 插件不适合做敏感字符串剔除

直接写一个 rustc 自定义 lint 或编译器插件（如 CompilerPlugin）来删代码，基本走不通。Rust 1.70+ 已彻底移除传统插件机制，而 rustc_driver + EarlyLintPass/LateLintPass 只能报告问题，不能修改 AST；想改 AST 必须用 rustc_private，但它是不稳定接口，每次 Rust 升级都可能崩，且无法在稳定通道启用。真实项目里没人靠它做构建时字符串擦除。

用 build.rs 预处理源码更可靠

敏感字符串剔除本质是“构建前文本清洗”，不是语义分析。把逻辑下沉到 build.rs，用正则匹配 + 替换，再生成临时源文件供编译器读取，既稳定又可控。

• build.rs 在 cargo build 最早阶段运行，能拿到完整源码路径
• 用 std::fs::read_to_string 读原始 src/lib.rs，regex::Regex::replace_all 批量删掉形如 r#"SECRET_KEY = ".*?""# 的赋值行或字面量
• 把清洗后的内容写入 target/generated/src/lib.rs，再通过 println!("cargo:rerun-if-changed=src/lib.rs") 触发重编译
• 主 lib.rs 改为 mod generated; pub use generated::*;，实际编译的是生成文件

proc-macro 能否动态隐藏字符串？

不能直接“剔除”，但可间接规避：写一个过程宏 #[mask]，把字符串字面量替换成空或占位符，同时在宏展开时记录被掩码的位置（用于审计日志）。注意两点：

• 宏只能作用于标注的项，无法全局扫描；若漏标，敏感字符串照常编译进二进制
• 展开后的代码仍含空字符串或默认值，需配合 cfg 属性（如 #[cfg(not(debug_assertions))]）控制是否保留调试用明文
• 所有 #[mask] 必须显式写在代码里，不能靠构建系统自动注入——这反而暴露了哪些地方有敏感数据

真正要防住的是最终二进制里的字符串残留

即使源码清洗干净，rustc 仍可能把字符串常量留在 .rodata 段。必须加一层防护：

• 对关键字符串用 const SECRET: &[u8; N] = b"xxx"; 定义，避免 UTF-8 解码带来的明文痕迹
• 链接时加 strip：在 .cargo/config.toml 中配置 strip = true，或发布时用 cargo strip
• 检查结果：用 strings target/release/your-bin | grep -i "secret" 验证是否还有残留

构建阶段的“剔除”只是第一道过滤，最终得靠二进制分析确认效果。很多人卡在验证这步——以为代码里删了就万事大吉，其实 objdump -s 才是真相。