小旭的专栏

遇到 neverallow 规则问题，千万别急着去注释/剔除里面原有的规则（原生的尽量别动）。增加 allow 规则是常见的解决办法，但是随着 android 版本的升级，系统对 SELinux 的管控越来越严，增加了大量的 neverallow。一般情况下，向默认标签授予权限的做法是错误的，其中许多权限都是 neverallow 规则所不允许的。按照上面方法去添加 SELinux 可能会违反了 neverallow 规则，编译时候会报 neverallow 相关的错误。

通过前面的文章，我们基本了解在 Android 系统中 SELinux 策略配置和基本语法，这里我们就来看一些常见的问题及其解决方案。这里我们主要看通过 allow 添加策略的方案。

然后用 make selinux_policy 编译，然后 push 相关分区下的 etc/selinux。直到没有 avc 报错为止。

audit2allow 工具可以获取 dmesg 拒绝事件并将其转换成相应的 SELinux 政策声明。因此，该工具有 助于大幅加快 SELinux 开发速度。audit2allow 包含在 Android 源代码树中，会在您基于源代码构建 Android 时自动编译。

通过前面的学习我们也大致了解 SELinux 的相关只是，这里我们就来看一下实际开发中，如果需要为厂商新增的一个自定义服务添加相关权限该如何操作。

通过前面的文章内容，我们了解了 Sepolicy 的相关语法和书写规范，这里我们来看一下系统中自带的一些比较重要的策略相关文件。

通过前面的文章我们知道，SELinux 中的上下文（contexts）包含很多类型，这里我们就来看看Androd 源码中 上下文 SELinux Contexts 的代码结构。

前面文章中介绍 allow 语句中所说的 "映射"，即将一个进程关联到一个 type，或者将一个文件关联到一个 type，是通过 context 来完成的。1、进程Context在 SELinux 中，进程的上下文（context）包含了多个字段，用于描述该进程的安全属性。user=_app：user 标识了拥有该进程的 SELinux 用户，_app 通常是 Android 系统中应用程序的默认用户，表示这是一个常规的 app。

在 Android 系统中，SELinux 主要是通过一系列配置文件来进行管理和配置的。这些配置文件涵盖了策略定义、标签映射、签名信息等多个方面。

上一篇文章我们介绍了使用 common 关键字定义的一些常用权限集，这里我们来看一下使用 class 关键字对具体的权限集的定义，很多 class 权限集是继承自 common 权限集的。源码位置：/system/sepolicy/private/access_vectors。

权限集表示一个权限集合，指定此条规则的权限范围，权限集必须是权限类所⽀持权限的⼦集，表示具体可以做什么操作。不同的 Class 有不同的 Permissions 集合，这里我们先来看一下 access_vectors 文件中一些常见的权限集合。源码位置：/system/sepolicy/private/access_vectors。

通过上一篇文章我们知道，TE（Type Enforcement，类型强制）的 allow 语句中主要包括主体（source）、对象（target）、类别（class）和权限（permissions），这里我们就来看一下其中的参数信息。

Linux 中有两种东西，一种死的（Inactive），一种活的（Active）。活的东西就是进程，而死的东西就是文件（Linux 哲学，万物皆文件。注意，万不可狭义解释为 File，普通文件、特殊文件、套接字等都属于文件范畴）。他们之间就是一种使用（操作）与被使用（被操纵）的关系，进程能发起动作（例如它能打开文件并操作它），而文件只能被进程操作。

安全标签（Security Labels）：每个文件、目录、进程等都有一个安全标签。标签包含类型（Type）、角色（Role）、用户（User）和类别（Category）等信息。安全策略（Security Policies）：SELinux 支持多种安全策略，包括：1）Targeted Policy：针对特定类型的系统（如服务器、桌面系统）。2）Strict Policy：更严格的策略，适用于高度安全的环境。3）MLS Policy：多级安全策略，支持多级分类的安全需求。

SELinux 提供了三种不同的工作模式，每种模式都有其特定的目的和使用场景。这里我们就来介绍这三种模式的使用场景。

SELinux（Security-Enhanced Linux）是一种基于强制访问控制 MAC 的安全增强模块，最初由美国国家安全局（NSA）开发，用于提高 Linux 操作系统的安全性。它基于 FLASK（Flux Advanced Security Kernel）模型，这是一个由美国国防部门开发的安全内核模型。SELinux 通过 LSM 接口集成到 Linux 内核中，提供了比传统的自主访问控制 DAC 更强的安全性和灵活性。