Android P SElinux权限调试

　　在Android P上要开发一个开机过程中运行bin程序，在Android O上权限问题还算比较好解决，而在 Android P上面由于谷歌收紧了 Android SElinux控制，增加了许多neverallow规则，导致调试权限十分不便

　　开发的bin程序由于要开机运行，因此需要通过init.rc去启动这个bin程序severe。而这个bin程序要去控制“data”分区文件和“sys”文件节点状态。

　　因此该功能涉及到selinux权限有两部分，一部分是sys下的权限，一部分是data下的权限

　　在userdebug下SElinux 权限调试模式

　　由于该功能在开机阶段，不能直接用方式去设置SElinux权限为permissive进行debug，可以采用在自己的te文件添加对自己该部分的permissive权限用于调试，以此bin程序举例

　　sys下的权限

　　由于Android P收紧的对 sysfs 的权限，导致直接配置对sysfs的SElinux权限，会触发编译时的neverallow规则，如

　　上述规则在Android P之前是可以编译通过的，在Android P上是不可以的。推测原因可能是Android P收紧了对“sys”底下的文件权限，如果直接给应用sysfs权限，会导致应用权限太大，可以在sys下干许多事情，很不安全。因此需要细化sys下的权限，对于上面：

　　问题需要在file.te和file_contexts下添加对于sys具体目录下的组别 在自己的te文件重新定义规则 注意（一个坑） 按道理这样就已经没有什么问题了，但是在debug的时候还有报sys下权限问题，此时可能不是权限配的有问题，有可能是在file.te 中配置的规则不生效，如在sys/fs/看到的情况如下：

　　可以发现features配置成功，而sda10未配置成功，这部分原因是sda是在开机过程中文件系统创建的debug节点之前是不存在的，因此配置不生效。

　　这个问题需要在init.rc下添加一行命令去让inti从规则中恢复这部分的权限，感兴趣可以看下这个博客：

　　https://happybevis.github.io/2018/05/02/The-Magic-Selinux-Restore-Rule/

　　修改后的结果

　　data下的权限

　　egbin配置对system_data_file的相关权限 由于data分区属于system_data_file因此需要给egbin配置对system_data_file的相关权限，如下

　　dac_override权限问题 但添加完后在debug时候出现一行权限错误

　　需要给egbin dac_override权限，但是该权限是Android P的neverallow规则中的，不能被添加。dac_override权限意思是容许进程旁路的所有DAC权限：uid，gid，ACL 等等，即有这个权限可以无视linux的权限中的用户、用户组。谷歌这样做的原因可能是这个dac_override权限能力范围太大，不能给普通程序这个权限，只有少数程序有这个权限

　　dac_override权限问题一种解法 出现这种问题可能原因是进程的组与需要访问的文件的组不同，进程没有权限访问改组的文件，需要申请dac_override权限来旁路的所有DAC权限：uid，gid使进程可以访问该文件。以egbin为例，下面为开机时egbin的rc文件，及data的user和group

　　可以看到 egbin 执行时候user是root，而data是属于system，因此导致需要申请dac_override才能访问data分区。如果不加dac_override的权限，可以将egbin的组切换为system组即可访问，rc修改如下

　　SEliunx及rc文件替换

　　SEliunx 文件替换 系统中SElinux文件的存放位置为?和?可以在编译出来的版本中只替换手机vendor或system下selinux文件夹（注意是整个文件夹）来达到修改目的

　　rc文件修改 和可以直接修改相应rc文件，无需下载img，对根目录下的rc文件不能采用该方法