Hacker News
Xmloxide is a pure Rust reimplementation of the de facto standard libxml2 library, offering memory safety and high performance as the original library became unmaintained in late 2025. It provides a C-compatible API and outperforms libxml2 in serialization and XPath queries while maintaining competitive parsing speeds.
AI 生成摘要
xmloxide 是 libxml2 的純 Rust 重新實作版本，這是在 libxml2 於 2025 年 12 月正式停止維護並存在安全漏洞後，旨在提供一個記憶體安全且高效能的替代方案。它提供 C 相容介面，在序列化與 XPath 查詢效能上超越了 libxml2，同時保持了具競爭力的解析速度。
隨著 AI 編碼代理工具的成熟，開發者開始嘗試利用這些工具重新實作經典的開源專案。本文介紹了 xmloxide，這是一個由 Rust 編寫、旨在替代 libxml2 的純 Rust 實作，其開發過程高度依賴 Claude Code 等 AI 代理。由於 libxml2 曾被指稱維護狀態不佳且存在安全隱患，作者透過 AI 快速迭代並通過現有的測試套件，試圖提供一個更安全且高效的現代化替代方案。
針對這項由 AI 主導的重構專案，Hacker News 社群展開了多層次的討論。首先是關於 libxml2 維護現狀的爭議，有開發者指出 libxml2 並非如作者所言已完全停止維護，部分安全問題可能源於研究人員過度回報低質量的 CVE，而非專案本身的崩潰。然而，多數人認同 C 語言實作的解析器在記憶體安全上確實存在先天缺陷，如緩衝區溢位或釋放後使用等問題，這正是 Rust 實作的核心優勢。作者也回應，透過 Rust 的編譯檢查，xmloxide 成功將原本 libxml2 中佔比極高的記憶體漏洞類別徹底消除。
技術細節上，社群對「純 Rust」與「安全性」的定義進行了辯論。部分留言者質疑專案中是否隱藏了 unsafe 代碼，作者解釋僅在為了相容 C/C++ 的 FFI 層使用了 unsafe，核心解析邏輯則完全符合 Rust 的安全規範。此外，xmloxide 採用 Arena 記憶體管理模型，在序列化與 XPath 查詢效能上甚至超越了原始的 libxml2，這引起了效能愛好者的關注。
然而，對於「AI 驅動開發」的可靠性，社群表現出明顯的審慎態度。有評論者提出「氛圍編碼」（vibe-coding）的風險，擔心 AI 生成的代碼雖然能通過測試套件，但在面對如 XML 實體擴張攻擊（Billion Laughs）或極端邊緣案例時，可能缺乏人類開發者具備的深度心理模型。對此，作者說明他配置了嚴格的 Linting、格式化工具以及四個模糊測試（Fuzzing）目標，以確保邏輯的穩健性。
最後，討論延伸到了開源生態的悲劇。許多留言者感嘆，無數企業依賴 libxml2 獲利，卻鮮少有人願意投入資源維護。有人提議應對使用開源軟體的企業徵稅，或由政府提供公共工程補助，以避免像 XZ 劫持事件般的安全危機再次發生。雖然 AI 降低了重寫與維護的成本，但社群普遍認為，標註「AI 製造」應成為一種負責任的規範，以便使用者評估長期維護的風險。