关于Move编程的魅力

Move是一种相对繁华的编程语言，但许多Web3.0项目不再使用它。

CertiK安全人员团队来审核Move创建智能合同的新第1层区块链。 借此机会，为各位专家总结一下Move这个新的编程语言吧。

基于这个实质性的比较专业领域，本文将讨论Move及其两个个性，即有助于编程资源(有助于支柱的高买卖率)和大局化验证)安全性的提高。

在这段历史中，本文阐明了Move的语法、类系统及内存模板，争论工程师在使用Move时所犯的一般正确性。 除此之外，我们将从本领中清除Move大局化验证的潜力和面临的牺牲。

什么是移动？ Move是用于创建智能合同的一定类别的编程语言。 推出的几个热点项目支撑着Move语言，席卷了Aptos、0L和Starcoin区块链。 还有其他Sui区块链异样的支柱Move语言，将其命名为Sui Move。

Move最初是作为Diem项目的创意之一开垦的，但基于属于这个元(原Facebook )的区块链的支付收集现在已经结束了。

在Diem发表的《为甚么要建立Move？》文件中，指出“为了享受Diem的拨入收集等拨入系统，必须将数字不动产的所有权进行编码，并为这些不动产的变换建立法式编程语言” 现在，使用稀有的百种语言的话，其中被计算为母语的包含在区块链的完结中。

Diem Networks可能会选择WebAssembly和Java字节码等常规语言，也可能选择EVM字节码和比特币脚本等现有的块链语言。 从外表上看，我们确实应该选择一种现有的语言，毕竟试图以一种语言的社区、库、器具和语言都一律为主，但这一切都需要多年的时间才能建立起来。 从这个角度来说，应该束缚起来创造新的语言。 但是，最终选择设立Move是因为我们看到了机缘。 ——Move可能是我们在几个主要方面对现有的替代计划逐渐实施创新。 ”

因为Diem必须安全地支持大生意，所以那个团队确定以这些目的为根基创立Move。

可编程资源Move的核心性质之一是可编程资源的利用。 资源(Resource )直接表示有价值的数据，例如用户拥有的项目房地产数量。 在Move中，拥有项目房地产的所有账户往往都存储着可能直接代表该房地产的数据。 这使得该项目在索尔斯克亚的房地产形象黯然失色，而从账户到反映他们拥有的项目房地产数量，索尔斯克亚常常使用一张反映表，通过智能签约进行记录。

这种可编程资源的运用有两个主要缺点。 最初，它成为了支持高买卖率的智能合约编程模型。 假设一笔买卖接触了两个“仅相互作用”的账户，该买卖可能与其他买卖并行进行。 与实际生活相一致，小明方便了店里的结账，但小红的结账不起作用。 Aptos区块链就是一个很好的例子，利用软件买卖保存器并行执行买卖，检测同时进行的两笔买卖是否会产生争议。

可编程资源的第二个缺点是，它可能会主动验证法式在特定类别中是否正确。 例如，资源不会被安静地节约，也不会被复制——。 这是由Move编译器报告的。 但是，在智能协议代码中引入了算术或逻辑上正确的值，资源可能没有正确的值。

下图显示了如何从github (https://github.com/move-language/move )上的move文档在move中构建块链数据。 在Move中，区块链的所有状态都称为保存。

每个区块链的位置代表一个帐户，其中一些可能为外界所有。 与以太坊不同的是，所有地方都可以存储数据。 朴素的照片显示，BasicCoin所有者的账户中，他们拥有的BasicCoin数量(资源)很少见。 该图被再现，在地方0x42中也有完成BasicCoin的代码模块。

使用Move创建智能合约时，建议将资源保存在拥有资源的帐户中，而不是保存在包含智能合约代码的帐户中。 即使有资源通过Move智能合约完成“Ethereum风格”，接触这样的合同的交易恐怕也不能并行实施。

Move的安全功能Move包括多少允许开拓者创建更安全的智能合约的功能？ 中，席卷了上述“编译器反省资源的根本利用状况”的功能。 Move语言原本以大局化的验证为支柱，意在打破容易导致大局化验证的语言组织。

此外，Move还具有支柱的通用性。 通用编程(Generic Programming )禁止公共代码在分支类别中重复使用。

这主要是因为让代码更安全的一种方法是重用每个人都仔细编写的代码，所以不需要编写新代码。 正如许多Coin共享完整代码——一样，通用编程禁止在分支Coin之间共享代码，如Aptos Coin规范所示。

当Move类系统和Rust处置有价值的数据时，跟踪和了解谁拥有这些数据并限制对数据的操作(如复制和省略)非常重要。

幸运的是，有编程语言开垦了完整的柱子所有权和个性，Rust。 Move的开拓者在类别和语法方面受到Rust思维的启发。

此图像显示了Move中内置的原始类别。

此图表显示了Move的组织类别，这些类别是由其他类别构建的。

接触到组织的类别，工作会变得开心

趣了，组织类别是Move中仅有的用户定义类别，一个组织类别是一个保存正在字段中的值的集中：

正在Move中，组织是一种“value”类别。组织类别的value正在内存或保存中是线性罗列的，对于一个组织的引用必需清爽地构建。这与Solidity分歧，正在Solidity中，组织变量常常是对于下层value的引用。下图阐明了这一点：

字段也许是除引用类别之外的一切类别，组织的实例是经过打包建立的（就像正在Rust中那样）。

Move为组织类别的value完结了一个一致于Rust的一切权系统，个中每个value都由蕴含它的变量或字段拥有。引用并没有拥有它们所指向的一切value。

默认状况下，组织value只可被转化到另一个一切者，它们没有能被复制或节略。当一个组织value被转化到另一个一切者那边时，它将没法被先前的一切者拜候。

正在一个组织类别的value被建立后，统一时光只生存该value的一个也许利用的副本。以下代码阐明了这一点：

Move还有一个称为abilities的类别个性，它也许掌握一个给定类别的value可被禁止施行哪些操作——这是受到了Rust的启发。这四种才略不同是：

Copy：value也许被复制。没有具备复制才略的组织正在被利用后没法被拜候。

Drop：value也许被节略。当一个value的所属变量或字段超越范围时，该value将被节略。没有具备节略才今天1早上略的组织则必需被利用，没法被丢弃。要末清爽地袪除它们，要末将它们“转化”到其他地点。它们没有能被无声无息地节略或丢弃。

Store：value也许保存正在全部保存的其他组织中。

Key：该类别可用作「键」来对于全部保存施行拜候。

对付组织类别来讲，abilities是正在组织类别证实中证实的，以下图所示：

以上实质主要先容了Move是甚么后天3晚上，和其一个枢纽个性：可编程资源。

接下来咱们先容Move的另一枢纽个性：大局化验证，及该个性为Move所带来的劣势以及缺点。

深度资源

一个资源是一个只要key以及store才略的组织体。正在Move中，一个账号每品种型的资源只可持有一个。资源没有能被复制或丢弃，这使得资源顺应直接代表价值的东西，比如coin。

账户与其资源之间的直接有关，使得编写某些「没有好的」代码也变得尤其容易，比如导致价值不料亏空的代码。

不过，没有正确的算计和与资源相关的那些更奥秘的逻辑正确依然有大概会呈现。这便是为甚么咱们强烈提议施行智能合约审计来增强安全保险。

区块链上全部保存的编程接口施行了一个限制——每个账户至多只可持有每个资源的一个副本。

一个法式也许利用以下操作正在全部保存中建立、读取、更新以及节略资源：

为了避免资源的虚拟及其他没有当操作，Move施行矜重的数据封装（encapsulation of data）。Move的代码以及类别证实被分组为module。代码算作module的一全体被摆设到一个账户中。

当一个组织类别正在一个模块中被证实时，只要正在统一模块中定义的函数也许拜候该组织类别的字段或建立该组织类别的value。Move组织证实被视为抽象数据类别，对于其module之外的代码潜伏其内部处事原理。module中的函数默以为公有，只可正在模块内挪用。它们也许被证实为public，这使得它们也许被外部代码拜候。module也许有friend，也便是他们信赖的其他module，并且也许证实部分non-public方式以供friend拜候。

References

Reference是pointer的一品种型，席卷对于其利用办法的限制。利用pointer的语言中，一个常见课题是悬挂引用（dangling references）：指向已被从新用于其他想法或被取缔分配的内存或保存。

比如，假设你为一个向量的最终一个元素建立了一个reference，然后削减了向量，则该reference而今就指向了有效的内存或保存。悬挂引用以及其他与没有受限制的pointer相干的课题一直是导致大普遍软件安全马脚的缘由。

Move处置reference的办法与Rust处置reference的办法一致。它席卷类别反省法则，以确保reference的生命周期没有擅长原始数据的生命周期。现代码建立一个reference时，该reference并没有博得数据的一切权。相反，代码借用了读取或写入数据的才略。

正在赏玩Move代码时，称号中带有“borrow”一词的操作就会孕育reference。

Move语言的定义中并没有蕴含对于reference checking的齐全形容（"borrow checker"，它确保borrow的reference没有会存在太万古间）。

没有过，本年有一份精细的本领论文被宣布（https://arxiv.org/abs/2205.05181），该定义中的两个枢纽法则是：

①没有禁止对于reference的reference，而且reference没有能保存正在组织中。这意味着，当一个函数被挪用并带有一个reference参数时，即使它也许前往reference，但也没有能将reference保存正在一个永恒生存的数据组织中。一个函数挪用并没有会缩短reference的生命周期。

②对于个别变量或个别变量字段的reference没有能逾越个别变量的影响域的终点。

类Rust语法

Move有一品种似于Rust的语法，正在某些地点与C作风的语言有些分歧。正在此，咱们归纳了一些主要的语律例则，以便更轻便地欣赏Move代码。

利用let证实变量：

类别解释：type以及initializer=e是可选的。当它们被节略时，Move利用类别推理来决定变量的类别。

下图是一些变量证实的例子：

Move有规范的表达式，用于算术、移位操作、函数挪用、赋值等，用于过程掌握的有if、while、for、break以及continue等表达式。

函数是利用以下语法证实的：

个中id是函数的称号，parameter-list证实参数，return-type是前往类别。还有一些须要的解释，如acquires解释。这些解释列出了函数从全部保存中拜候的资源，还相关于可见性的证明。如前所述，函数也许是众人的、公有的，大概也许被friend module拜候。

大局化验证

智能合约安全以及正确地运行相当主要，由于其每每持有多数的物业。大局化验证是确保一个法式（如智能合约）施行其预期操作的最好本领之一。

正在大局化验证中，工程师编写榜样，并以数学办法表达代码的预期动作。然后利用器械实验反省代码是否契合榜样。

咱们也许将这种反省视为测试，但这个中有一个枢纽的区分：它没有是反省代码正在某些一定状况下的动作，而是反省代码正在一切大概状况下的动作。

假设反省经过，则阐明该器械找没有到代码违反榜样的用例。没有过这并没有意味着代码100%没有生存违反榜样的状况，由于器械或编译器的马脚依然有大概导致正确的产生。但这仍然使得其比运行一组测试用例供给了更矜重的榜样保险。

对付一些代码，稀奇是繁复的代码，器械大概没法主动反省代码是否契合榜样。所以工程师只怕须要为一小全体的代码推广全部化的榜样，直到反省器恐怕乐成运动作止。工程师以至大概须要写证实法则，然后该器械会根据数学原理反省代码是否契合这些证实法则。

由于确保智能合约的安尽是相当主要的，一些智能合约编程语言会原生就供给对于大局化验证的支柱。就像Solidity编译器供给的SMTChecker器械，它假定requires子句始终为真，然后试图证实assert子句永久没有会退步。

Move也对于大局化验证本领施行了集成支柱。它含有丰硕的用于大局化验证的榜样语言，恐怕榜样比Solidity的requires以及assert子句更繁复的属性，并且有想法地节略了会对于大局化验证形成课题的语言组织。Move的开垦境况中就席卷一个名为“Move Prover”的反省器。

CertiK由两位常春藤盟校的算计机迷信教授所制造。算作区块链安全范畴的先驱，CertiK应用的正是今朝开始进的大局化验证本领。创立CertiK的两位教授均是大局化验证方面的各人，并建立了CertiKOS——天下上第一个也是仅有一个全面被验证的并发式多核操作系统以及办理法式。Certi明天2下午K努力于经过将大局化验证本领利用于安全审计以确保智能合约的安全。

所以，CertiK安全各人当然而然地就留神到了Move这一集成了大局化验证本领的编程语言。

下方是一个double函数及其榜样的简捷示例。double函数的功能是将一个64位无符号整数（unsigned integer）施行翻倍算计。由spec double给出的double 榜样从数学上形容了预期的了局。

榜样语言是Move的一个集成全体。榜样被结合成spec block。spec block指定了函数的前置条件（requirements）以及后置条件（ensures）。

前置条件须要正在函数被挪用以前必需为真，以便该函数恐怕一般运行。嗣后置条件则是指当函数前往时必需为真。

其余，spec block还指定了退步条件（aborts_if）。榜样语言支柱大普遍通例Move语法。它还支柱用于指定法式动作的主要附带功能，席卷forall、exists以及implies。

下方是spec block的示例：

Move Prover将榜样以及法式语义变换为了逻辑表达式。然后将它们传播给可满意性模外貌（SMT）求解器，比如Z3以及CVC5，以证实或批驳。以下大幅简化的图表阐明了这一点：

大局化验证有其劣势也有缺点。

大局化验证被以为是构建切实法式的“黄金规范”，并被用于许多如NASA这样的枢纽义务系统。编写系统动作的大局化榜样也许显露出逻辑上的没有统一或头脑的没有认识。

然而即使是对付各人来讲，将相对于简捷的系统施行大局化榜样也是容易且耗时的。

除此之外，正在处置更繁复的法式或榜样时，审查员也会碰到妨碍，并且大概会须要极长的时光来将其束缚。

正在CertiK接下来揭晓的文章中，咱们将更深切地商量Move大局化验证的潜力以及其所面临的寻衅。

因为大局化验证的繁复性，CertiK正在此提议如有须要的用户理应追寻一个正在大局化验证方向有所建立的安全机构来施行合约审计或是帮助对于合约的大局化验证。

写正在最终

咱们指望这篇文章可为想要领会Move语言的读者供给渊博的参照价值。

Move确切引入了新的方式来束缚可扩充性课题和进步安全性。然而，没有一种语言也许100%保险安全，非可扩充的或没有正确的代码仍有机缘困扰Move的内置功能。

宛如Web3.0，兔子洞的生存是永久数之没有尽的。

假设你想领会对于Move本领特征的更多信息，那么提议复制链接（https://move-language.github.io/move/introduction.html）至欣赏器拜候这些值得参照的开垦人员文档，并延续存眷咱们对于Move Prover（一个用Move编写的智能合约的大局化验证器械）施行的本领深切争论。

起因：星球日报