Android P下的Android selinux定制

Question

我想添加一个类似于 /system/bin/mymodule 的模块 当然我需要自定义 sepolicy 来定义它的上下文并编写策略

而且我知道自从 Android 8 以来它带来了带有 limitations 的 Treble，我可能只是修改了 device/manufacturer/device-name/sepolicy 下的 sepolicy，我可以添加 mymodule.te 文件，也许像

type mymodule, domain;
type mymodule_exec, exec_type, file_type;
init_daemon_domain(mymodule)

但在我的情况下，它可能会破坏 system/sepolicy/private/domain.te 下的 neverallow sepolicy，所以也许我需要用一些东西修改它 neverallow { -mymodule }

但在我看来，这可能会违反 android 高音的事情，并且可能无法通过 CTS？

所以问题是我的担心对吗？如果它是正确的，还有其他方法可以通过这个 neverallow sepolicy 吗？

Answer 1

system/sepolicy/public/attributes 定义了许多domains 用于不同的用途，例如appdomain 用于普通应用程序，netdomain 用于需要网络访问的应用程序等。也许您应该为您的模块更改正确的domain，根据您的模块的操作。在许多情况下，它会满足您的需求。