关于高通平台SELINUX权限问题

### 高通 SEPOLICY 中增加 Linux 权限的具体步骤 在高通设备的 SEPOLICY 中增加 Linux 权限时，需要遵循以下专业方法和步骤来确保权限正确添加并验证其有效性。以下是详细说明： #### 1. 添加 SELinux 策略文件 将汇顶提供的 SELinux 文件集成到高通设备的策略路径中，具体路径为 `device/qcom/sepolicy/msm8996/`。确保使用 `audit2allow` 工具生成遗漏的策略，并将其添加到现有策略文件中。例如，添加如下策略以允许指纹模块访问固件和 ION 设备： ```plaintext # 允许访问固件 allow gx_fpd firmware_file:dir r_dir_perms; allow gx_fpd firmware_file:file r_file_perms; # 允许访问 ION 设备 allow gx_fpd ion_device:chr_file r_file_perms; ``` 这些规则定义了指纹模块（`gx_fpd`）对固件文件和 ION 设备的读取权限[^1]。 #### 2. 修改 init 脚本 如果需要在系统启动时运行特定服务（如 `copy_apps.sh`），需要修改 `init.target.rc` 文件。在路径 `device/qcom/msm8953_64/init.target.rc` 中添加以下内容： ```plaintext service copy_apps /system/bin/sh /system/bin/copy_apps.sh class core user root group root disable oneshot seclabel u:r:copy_apps:s0 # 在系统启动完成后启动该服务 on property:sys.boot_completed=1 start copy_apps ``` 此配置确保服务具有正确的 SELinux 标签（`u:r:copy_apps:s0`），并在系统启动完成后执行一次[^4]。 #### 3. 构建和测试 SEPOLICY 构建 SEPOLICY 并验证其是否符合要求。执行以下命令以完成构建和测试过程： ```bash source build/envsetup.sh lunch xxxx-userdebug make sepolicy make sepolicy-tests ``` 这些命令会重新生成 SEPOLICY 文件并运行测试以确保新增权限未导致冲突或错误[^2]。 #### 4. 启用 SSH 和调试模式 为了安全地访问主机设备并调试 SEPOLICY，必须在宽松模式下启用 SSH。按照《高通 Linux 构建指南》中的说明操作，确保能够通过 SSH 连接到设备并验证 TEE 和安全软件的启动状态[^3]。 #### 5. 验证权限有效性 在设备上运行相关服务或应用程序，检查日志输出以确认新增权限是否生效。如果仍有拒绝访问的日志记录，可以使用 `audit2allow` 工具生成额外的策略规则并重复上述步骤。 --- ###