Android Selinux详解[二]--新增文件标签相关

file_contexts新增标签

在file_contexts中新增标签的验证方式

在file_contexts中新增节点标签可能会遇到的问题

在file.te中一些常用的声明类型解释

在工作过程中，SElinux常用的有以下几个文件可用于新增标签

可用于加标签的文件名	含义	对应的声明文件名(一般会声明的地方，根本上放哪里都可以)
file_contexts	给文件/目录/节点新增标签	file.te
genfs_contexts	给节点新增标签，与上一个不同的是，不用执行restorecon操作	file.te
hwservice_contexts	给hal服务新增标签	hwservice.te
property_contexts	给属性新增标签	property.te
seapp_contexts	给APP新增标签	untrusted_app.te app.te...等等
service_contexts	给系统服务新增标签	service.te

restorecon在Selinux中是一个非常常用的命令，其解释如下

"restorecon" 是一个用于恢复文件或目录的 SELinux 安全上下文的命令。在使用 SELinux（Security-Enhanced Linux）时，每个文件和目录都有一个安全上下文，它描述了文件或目录的安全属性和访问权限。如果由于某种原因安全上下文发生了改变，例如文件被移动或复制，可能导致安全上下文不一致。"restorecon" 命令可以用来重新设定文件或目录的安全上下文，以确保其符合预期的安全策略。

在通常情况下，你可以在终端中使用 "restorecon" 命令，语法如下：

restorecon (-Rv) /path/to/directory_or_file

其中：

-R 选项表示递归操作，将会对指定目录及其下所有子目录和文件进行恢复。
-v 选项表示详细模式，将显示恢复过程中的详细信息。
/path/to/directory_or_file 是要恢复安全上下文的目录或文件路径。

请注意，在执行 "restorecon" 命令时，确保你具有足够的权限来操作目标文件或目录。此外，SELinux 的相关配置以及系统策略也会影响到 "restorecon" 命令的实际效果。

总之，"restorecon" 命令是用于恢复文件或目录的 SELinux 安全上下文，确保其符合系统的安全策略。

file_contexts新增标签

参考源码：file_contexts - OpenGrok cross reference for /system/sepolicy/private/file_contexts

可以看到dev的标签如下

/dev(/.*)? u:object_r:device:s0
这个含义代表/dev下所有的文件或者目录的标签都是device

可以通过ls -l -Z命令查看下标签，可以看到标签就是device

drwxr-xr-x 27 root root u:object_r:device:s0 3780 2024-02-21 11:21 dev

如果在dev的子目录下，创建一个目录或者文件，并不给它打标签的话，那么这个新创建的文件或者目录会和父目录的标签一致

cd dev

drwxrwxrwx 2 root root u:object_r:device:s0 40 2024-02-21 11:43 0

如果有单独打标签，则它的标签会是新打的标签

比如dev/block，它的标签打成这种/dev/block(/.*)? u:object_r:block_device:s0

那我们再查看它的标签，会发现标签是已经变了的

drwxr-xr-x 6 root root u:object_r:block_device:s0 3360 1970-01-01 00:06 block

在file_contexts中新增标签的验证方式

当新增文件标签时，有两种方式可以验证

编译方式

验证方法

整编

刷机烧录的方式，此方法不用任何别的操作，去你新增的标签下通过ls -l -Z查看即可看到效果

单编

adb push完之后然后执行adb reboot

重启完成后去对应目录下去查看标签，会发现标签并没有生效

需要执行以下restorecon命令才可以

当文件对应路径下使用restorecon +文件名的方式，即可看到打标签后的效果

在file_contexts中新增节点标签可能会遇到的问题

请注意如果是新增的是设备节点，可能会出现标签无法生效的情况

因为在file_contexts中新增设备节点标签，是需要代码或者手动执行restorecon命令才会生效的，否则就是原来的标签，所以建议在genfs_contexts中去新增设备节点相关的标签。在genfs_contexts中新增设备节点的标签时，请注意需要把节点对应的超链接路径也新增上去才可以，这种带->的就是超链接，对于这种情况就需要当前目录/sys/bus/platform/devices/soc:wsa_spkr_en1_pinctrl 以及对应的超链接目录/sys/bus/platform/drivers/msm-cdc-pinctrl都添加上才可以，具体加法，后面出一节关于genfs_contexts再进行分析。

/sys/bus/platform/devices/soc:wsa_spkr_en1_pinctrl # ls -l
total 0
lrwxrwxrwx 1 root root 0 2024-02-21 12:05 driver -> ../../../../bus/platform/drivers/msm-cdc-pinctrl