Android P SELinux (二) 深入剖析策略文件加载与内核交互机制

1. SELinux策略文件加载全景图

在Android P系统中，SELinux策略文件的加载过程就像一场精心编排的交响乐演出。想象一下，当设备启动时，init进程就像乐团指挥，负责协调各个组件按照既定的安全策略有序运行。整个过程可以分为三个关键阶段：

• 策略文件编译阶段：将人类可读的.te文件转化为机器可执行的二进制格式
• 策略文件定位阶段：在/vendor和/odm分区中寻找预编译的策略文件
• 内核交互阶段：通过虚拟文件系统将策略注入Linux安全模块

我曾在调试某个车载系统时发现，策略文件加载失败会导致整个系统卡在开机动画。通过内核日志发现是vendor分区的哈希校验失败，这正是因为策略文件版本与系统镜像不匹配导致的。

2. 策略文件编译机制详解

2.1 从te文件到二进制策略的蜕变

Android的SELinux策略编译就像把源代码编译成可执行程序，但过程更加精密。让我们看一个典型编译流水线：

# 原始te文件示例 type system_app, domain; allow system_app system_data_file:file { read write }; # 编译过程示例 m4 -D mls_num_sens=1 security_classes test.te > policy.conf checkpolicy -M -C -c 30 -o policy.bin policy.conf secilc -m -M true -G policy.cil -o precompiled_sepolicy

这个过程中有几个关键角色：

• m4宏处理器：展开所有的策略宏定义
• checkpolicy：检查语法并生成中间格式
• secilc：最终生成二进制策略文件

2.2 平台与厂商策略的协作关系

Android 8.0引入的策略分离设计就像公司总部与分公司之间的关系：

在调试某款智能手表时，我们发现厂商添加的自定义服务无法启动，最终定位到原因是厂商策略文件没有正确引用平台公共类型。这种跨策略域的依赖关系需要特别注意。

3. init进程的加载流程剖析

3.1 启动阶段的双重奏

init进程的SELinux初始化就像舞台剧的两幕演出：

第一幕：内核日志准备

// system/core/init/selinux.cpp void SelinuxSetupKernelLogging() { selinux_callback cb; cb.func_log = SelinuxKlogCallback; selinux_set_callback(SELINUX_CB_LOG, cb); }

第二幕：策略加载核心逻辑

bool LoadPolicy() { if (IsSplitPolicyDevice()) { return LoadSplitPolicy(); // Android 8.0+的路径 } else { return LoadMonolithicPolicy(); // 旧版本路径 } }

3.2 策略文件的寻宝游戏

FindPrecompiledSplitPolicy()函数就像个精明的侦探，按照以下顺序搜寻策略文件：

1. 检查/odm/etc/selinux/precompiled_sepolicy
2. 检查/vendor/etc/selinux/precompiled_sepolicy
3. 验证SHA256哈希值是否匹配

我在一次系统升级中发现，即使替换了precompiled_sepolicy文件，新策略仍未生效。原来是因为忘记同步更新对应的.sha256哈希文件，导致校验失败。

4. 内核空间的策略交互

4.1 用户态到内核态的桥梁

策略加载的最后一步就像通过特快专递把文件送给内核：

// libselinux中的关键调用 int security_load_policy(void *data, size_t len) { int fd = open("/sys/fs/selinux/load", O_RDWR); write(fd, data, len); close(fd); }

这个简单的系统调用背后，内核完成了以下复杂操作：

1. 验证策略文件头部的魔数和版本
2. 解析策略组件并构建avtab等数据结构
3. 刷新所有进程的安全上下文

4.2 policydb的内核舞步

内核中的policydb结构体就像个精密的保险箱，安全地存储所有策略规则：

// 内核中的策略数据库结构 struct policydb { struct symtab symtab[SYM_NUM]; // 符号表 struct avtab te_avtab; // 类型执行规则 struct role_allow *role_allow; // 角色转换规则 struct ocontext *ocontexts[OCON_NUM]; // 安全上下文 // ...其他关键字段 };

在分析一个权限拒绝问题时，我曾用gdb检查这个结构体，发现某个类型属性未被正确设置，导致服务进程无法访问需要的资源。

5. 实战中的疑难排查

5.1 常见故障模式

根据我的经验，策略加载问题通常表现为：

1. 启动卡死：策略文件损坏或版本不匹配
2. 服务崩溃：缺少必要的权限规则
3. 权限拒绝：安全上下文配置错误

5.2 调试工具箱

推荐这些实用调试命令：

# 检查当前策略版本 adb shell cat /sys/fs/selinux/policyvers # 查看加载的策略文件 adb shell ls -lZ /vendor/etc/selinux/precompiled_sepolicy* # 获取内核拒绝日志 adb shell dmesg | grep 'avc: denied'

记得那次为智能家居设备调试时，通过dmesg发现摄像头服务缺少访问视频设备的权限，添加对应allow规则后问题迎刃而解。

6. 策略优化的艺术

6.1 性能调优技巧

• 预编译策略：确保使用precompiled_sepolicy避免运行时编译
• 精简规则：移除未使用的类型和属性
• 哈希优化：调整avtab哈希表大小减少冲突

在优化某款物联网设备启动时间时，通过分析启动流程发现策略加载耗时占比较大。改用预编译策略并精简规则后，启动时间缩短了15%。

6.2 版本兼容性处理

Android的策略版本管理就像图书馆的编目系统：

处理跨版本兼容性时，映射文件（如28.0.cil）就像翻译官，确保旧策略能理解新版本的类型定义。