Android SELinux——allow语句参数（五）

        通过上一篇文章我们知道，TE（Type Enforcement，类型强制）的 allow 语句中主要包括主体（source）、对象（target）、类别（class）和权限（permissions），这里我们就来看一下其中的参数信息。

一、参数详解

1、主体

        在 SELinux 的上下文中，主体类型 source 是指发起访问请求的安全上下文或主体（Subject）。主体通常指的是进程、用户或者其他需要访问系统资源的实体。

        在 SELinux 策略中，主体类型（source_type）是指发起访问请求的进程所属的安全类型。在 SELinux 策略文件中，source_type 通常是定义好的类型，它描述了进程的性质或功能。例如，在 Android 系统中，不同的应用和服务会运行在不同的安全上下文中，每个上下文对应着不同的类型。

        在实际应用中，source 的类型会根据具体的应用场景和系统的安全需求来设定。为了确保系统的安全性，通常会对不同类型的主体设置严格的访问控制规则。 

2、客体

        在 SELinux 中，对象类型（target）通常指的是客体（如文件、目录、套接字等）的安全标签。与主体类型类似，一个客体也可以具有多个类型。这可以通过在安全上下文中指定多个类型来实现。

        具体来说，一个客体可以在其安全上下文中被赋予多个类型，这些类型之间用逗号分隔。这意味着一个客体可以同时属于多个类型，从而可以被不同类型的主体访问。

allow httpd var_t:file read;
allow httpd httpd_sys_content_t:file read;

        这里同一主体（httpd）同时允许访问不同客体 var_t 和 httpd_sys_content_t。也可以写成如下方式：

allow httpd {var_t, httpd_sys_content_t}:file read;

        httpd 是主体类型，表示发起访问的进程。{var_t, httpd_sys_content_t} 表示一组对象类型，即客体可以是 var_t 类型或 httpd_sys_content_t 类型。read 表示允许读取操作。这种方式使得你能够在一条语句中定义针对多个对象类型的规则，提高了配置文件的可读性和简洁性。

多类别

        上面的代码列出了多个对象时的简化写法，那如果同时又有多个对象类型时是否可以简化？

allow httpd {var_t, httpd_sys_content_t}:{file, dir} read;

        httpd 是主体类型，表示发起访问的进程。{var_t, httpd_sys_content_t} 表示一组对象类型，即客体可以是 var_t 类型或 httpd_sys_content_t 类型。{file, dir} 表示一组对象类别，即客体可以是文件 (file) 或目录 (dir)。read 表示允许读取操作。这段代码等价于：

allow httpd var_t:file read;
allow httpd var_t:dir read;
allow httpd httpd_sys_content_t:file read;
allow httpd httpd_sys_content_t:dir read;

        通过这种方式，你可以更简洁地定义针对多个对象类型和多个对象类别的规则，提高 SELinux 策略文件的可读性和简洁性。

3、类别

        上面 :file 就是一个 Class。简单说就是将某些被访问对象归为一种 Class，比如说被访问的是文件，Class 一般就是 file；如果是目录，Class 就是 dir；如果是 socket，Class 就是 socket 等等。Class 是 AOSP 内定义好的，一般不需要自定义。

源码位置：/system/sepolicy/private/security_classes

#
# Define the security object classes
#

# Classes marked as userspace are classes
# for userspace object managers
class security
class process
class system
class capability

# file-related classes
class filesystem
class file
……

         security_classes 中的定义格式如上代码所示，我们主要来看一下系统中主要设置了哪些 Class。

通用类别

文件相关类别 

网络相关类别

SysV IPC 相关类别

扩展Netlink套接字类别

Netlink套接字类别 

socket套接字类别

        这些类别主要涉及各种不同的网络协议和特定用途的套接字操作。通过 extended_socket_class 策略能力，可以更细粒度地控制不同类型的套接字行为。

其他类别 

        这些类别定义了 SELinux 中不同类型的资源，并为后续的访问控制规则提供了基础。通过这些类别，可以实现细粒度的访问控制，从而增强系统的安全性。