1.2 设计哲学：轻量、安全与Rust基因

上一节用 hello world 摸到了壳与芯的手感，本节回答"它为什么长这样"。Tauri 的所有设计都能收敛到三条承诺上：轻量不靠压缩靠复用，安全不靠加固靠默认，可靠性不靠测试靠语言。理解这三条，后面每一章的具体机制你都能自己推出"为什么"。

承诺一：轻量是复用出来的，不是压缩出来的

把安装包做小的思路有两种。一种是把所有东西塞进去再压缩，体积降了运行时照单全收；另一种是根本不把大件装进去。Tauri 选了后者，它有三样"不装"：

不装浏览器内核。 Windows 10 之后的系统普遍预装了常青版 WebView2（随 Edge 更新自动升级），macOS 自带 WKWebView，主流 Linux 发行版一行命令就能补上 WebKitGTK。Tauri 应用只带着自己的界面代码和一个几 MB 量级的 Rust 可执行文件出厂。代价也要说透：你无法锁定渲染引擎版本，用户机器上的 WebView 是什么版本，你的应用就跑在什么版本上——第 2 章会讲怎么应对三端差异。

不装运行时。 Rust 编译产物是原生机器码，没有虚拟机、没有解释器、没有 Node 进程。程序启动即原生执行，这也是 Tauri 应用冷启动普遍快于 Electron 的原因之一。

不装用不到的能力。 Tauri 2 把文件、网络、对话框等能力全部做成独立插件，官方插件矩阵按需引入。你的应用不碰剪贴板，就完全不编译剪贴板代码。

轻量不是绝对值而是相对账。空项目的安装包通常在个位数 MB，而同等功能打包 Node 运行时的方案往往要几十 MB 起步；但请记住这笔账的币种是"系统环境依赖"——你要为老旧系统额外考虑 WebView 不可用的安装引导（第 8 章打包时给方案）。

承诺二：安全是默认态，不是开关

传统框架谈安全，姿态通常是"给你一堆开关去加固"；Tauri 的姿态是"不声明就不可用"。具体落在三层：

能力默认拒绝。 前端页面想读写文件、发网络请求、开对话框，每一个具体操作都需要在 capabilities 权限清单里显式授权。权限粒度细到"允许读哪个目录下的什么文件"。页面被注入恶意脚本的常见攻击因此失效——脚本拿到的上下文里根本没有那些能力。第 6 章整章展开。

内容安全策略默认收紧。 生产构建默认给页面注入 CSP（内容安全策略），默认来源是 'self'，外链脚本、内联事件这些注入通道被策略挡住。你可以在配置里进一步收紧，但起点是收紧的。

入口面刻意做小。 前端到芯的通道只有命令与事件两类，每个命令都是你亲手写、亲手暴露的函数。没有"万能桥"式的接口，自然也没有万能桥式的攻击面。

{
  "app": {
    "security": {
      "csp": "default-src 'self'; connect-src 'self' ipc: http://ipc.localhost",
      "assetProtocol": {
        "enable": false,
        "scope": []
      }
    }
  }
}
​

这段 tauri.conf.json 的节选里，csp 字段控制页面能从哪里加载资源、能向哪里发请求；assetProtocol 控制页面能否通过资源协议读取本地文件，默认关闭。每一项都默认保守，每一项的放开都要你签字。安全模型的具体操作与攻防推演在第 6 章，这里只需要建立直觉：Tauri 把安全从事后审计变成了配置声明。

承诺三：Rust 基因买到了什么

选 Rust 做芯不是语言偏好，是三笔实打实的收益：

内存安全在编译期结账。 数据竞争、悬垂指针、缓冲区越界这类内存错误是大量 CVE 的源头，Rust 的所有权系统把它们拦在编译阶段。芯是整个应用里权限最大的部分，芯里少一类漏洞，整个应用的安全下限就抬高一层。

无畏并发。 所有权规则让"多线程共享可变状态"这个经典雷区在编译期显形。第 5 章写异步命令、后台任务时你会直接受益——敢并发，是因为编译器兜底。

无 GC 的可预期性能。 没有垃圾回收意味着没有停顿毛刺，文件处理、加解密、本地推理这类重活交给芯干，内存峰值和延迟都可预期。

成本同样要摆上桌面：Rust 学习曲线陡、编译慢、招人比 JavaScript 难。Tauri 团队对此的回应是工程分层——把最常见的系统能力做成官方插件（第 7 章），让多数应用"几乎不用写 Rust"，只在自己独有的业务处下芯。实践里这个分层确实成立：不少小项目的 Rust 侧只有几十行命令代码。但如果你的应用核心逻辑极重（音视频处理、编译器、大规模数值计算），要诚实评估团队的 Rust 能力，这部分判断留到 1.4。

三条承诺互相咬合

值得把三条承诺当系统看，它们不是并列的卖点而是互相支撑的结构：因为芯是 Rust 写的，才敢把所有系统能力收进芯（承诺一、三）；因为能力都在芯里且默认拒绝，才有可能做到细粒度授权（承诺二）；因为不装内核与运行时，安装包才小到可以随更新高频分发（承诺一反哺交付体验）。评价任何框架的"理念"，看理念之间是否互洽，比看理念是否动听更可靠。

三条承诺在 hello world 里的落点

哲学要能在代码里指认，才算数。回到 1.1 节那个项目，逐条对照验收：轻量落在哪？ 打开任务管理器看进程，你会发现应用只有两个主要部分——WebView 进程与你的 Rust 进程，没有第三台浏览器内核；再看安装目录，没有散装的运行时文件。安全落在哪？ 在前端控制台里试着调用一个不存在的命令，被拒绝的错误就是默认拒绝模型在运行的证据；翻看 capabilities 目录，那份 default.json 里没写的能力，前端一行代码都够不着。Rust 基因落在哪？ Cargo.toml 里只有薄薄几行依赖，编译产物却是一个独立完整的二进制——不依赖目标机器装任何解释器。

这套对照还有一个进阶用法：评审别人的 Tauri 项目时，先看三处——capabilities 里的授权范围、security 段的 CSP 写法、Cargo.toml 的插件清单，三分钟内就能对项目的安全与依赖卫生给出第一印象。哲学落进文件，才是真哲学。

对"轻量"的一个常见误读

值得单独澄清：轻量指的是发行物轻，不等于"什么都不带"。WebView 是系统组件，但它的加载与初始化仍是应用启动的真实成本；Rust 二进制虽小，里面的框架与插件代码该执行的还是会执行。因此 Tauri 应用的启动速度、内存占用依然取决于你怎么写——第 8 章的优化清单里没有任何一条能靠"框架轻"自动达成。把"轻量"理解成"免费的白嫖"，会在选型评审里给出错误的预期；把它理解成"起点更低的资源账单"，才符合工程现实。

本节要点回顾

• 轻量 = 三不装：不装内核、不装运行时、不装用不到的能力，代价是渲染引擎版本不可锁定；
• 安全默认拒绝：能力按操作粒度授权，CSP 默认收紧，跨语言入口只有命令与事件；
• Rust 基因的三笔收益：编译期内存安全、无畏并发、无 GC 的可预期性能；
• 成本不回避：Rust 学习曲线与编译时间，靠官方插件分层缓解；
• 三条承诺互洽：芯收拢能力 → 能默认拒绝 → 权限可细粒度 → 包小可高频更新。

下一节把 Tauri 和它最常被拿来比较的 Electron 放上同一张对比矩阵，逐项核算两种内核策略的账单。