<p dir="ltr">I only thought of it because the first thing I tried was to break the chaperone invariant, thinking that 2 might already have been the behavior. I only came up with the access control variant when that didn't work.</p>

<p dir="ltr">Sam</p>
<div class="gmail_quote">On Jul 25, 2014 6:04 AM, "Matthew Flatt" <<a href="mailto:mflatt@cs.utah.edu">mflatt@cs.utah.edu</a>> wrote:<br type="attribution"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Unless I still have it wrong, the implementation of 2 was<br>
straightforward.<br>
<br>
I would have overlooked the need to restrict `chaperone-struct` to<br>
chaperones of accessors and mutators if you hadn't mentioned it.<br>
<br>
At Thu, 24 Jul 2014 15:45:18 -0400, Sam Tobin-Hochstadt wrote:<br>
> Consider the following module:<br>
><br>
> (module m racket<br>
>   (struct x [a])<br>
>   (define v1 (x 'secret))<br>
>   (define v2 (x 'public))<br>
>   (provide v1 v2)<br>
>   (provide/contract [x-a (-> x? (not/c 'secret))]))<br>
><br>
> It appears that this ensures that you can't get 'secret. But, it turns<br>
> out that I can write a function outside of `m` that behaves like `x-a`<br>
> without the contract:<br>
><br>
> (require (prefix-in m: 'm))<br>
><br>
> (define (x-a v)<br>
>   (define out #f)<br>
>   (with-handlers ([void void])<br>
>     (m:x-a (chaperone-struct v m:x-a (λ (s v) (set! out v) v))))<br>
>   out)<br>
><br>
> Now this works:<br>
><br>
> (displayln (x-a m:v1)) ;; => 'secret<br>
><br>
> The problem is that `m:x-a` is treated as a<br>
> `struct-accessor-procedure?`, which is a capability for accessing the<br>
> a field, even though it's a significantly restricted capability.<br>
><br>
> There are a couple possible solutions I've thought of:<br>
><br>
> 1. Require a non-chaperoned/impersonated accessor.<br>
> 2. Actually use the chaperoned/impersonatored accessor to get the<br>
> value out instead of the underlying accessor.<br>
><br>
> 1 is a little less expressive. But note that 2 means that you have to<br>
> only allow chaperoned procedures with `chaperone-struct`, and imposes<br>
> significant complication on the runtime.<br>
><br>
> I favor 1.<br>
><br>
> Sam<br>
><br>
> _________________________<br>
>   Racket Developers list:<br>
>   <a href="http://lists.racket-lang.org/dev" target="_blank">http://lists.racket-lang.org/dev</a><br>
</blockquote></div>