1. SELinux基本概念与帧率相关进程的上下文
课程定位：理解SELinux安全上下文是策略配置与帧率进程隔离的根基。错误的安全标签会直接导致进程资源受限、调度异常，进而引发帧率抖动。
1.1 安全上下文：用户 · 角色 · 类型 · 级别
SELinux对每个主体（进程）和客体（文件、端口等）附加一个安全上下文，格式为：
user_u:role_r:type_t:level四个字段的含义及在帧率进程中的常见值如下表：
| 字段 | 说明 | 帧率进程示例 |
|---|---|---|
| 用户 | 标识SELinux用户身份，控制角色授权 | user_u |
| 角色 | 决定进程可以进入哪些域 | object_r（无变化） |
| 类型 | 核心访问控制依据，决定域间许可 | ffmpeg_t / pulseaudio_t |
| 级别 | 多级安全（MLS）敏感度，默认s0 | s0 |
帧率关键点：类型字段直接影响进程能否访问GPU、DRI、实时优先级等资源。类型错误时，进程可能被拒绝读取/proc/pid/stat，导致调度信息缺失，引发帧率统计突变。
1.2 域与类型的关系
进程的域就是其安全上下文中的类型字段。例如进程域ffmpeg_t，文件类型media_home_t。只有域对类型有访问权限，才能操作对应客体。
帧率相关的常见域类型映射：
- 显卡设备
video_device_t→ 帧率采集进程域pulseaudio_t/xserver_t - 音频缓冲文件
audio_data_t→ 域pipewire_t - GPU显存映射
dri_device_t→ 域gpu_t
1.3 查看帧率进程的安全上下文
使用ps -Z或ps axZ列出所有进程及其安全标签，过滤出帧率相关进程：
# 查看所有进程的安全上下文
ps -Z -p $(pgrep -x ffmpeg)
# 输出示例（模拟）：
# LABEL PID TTY STAT TIME COMMAND
# user_u:object_r:ffmpeg_t:s0 1234 pts/0 S+ 0:02 ffmpeg -i input.mp4 output.mp4
# 查看涉及GPU/音频的进程上下文
ps axZ | grep -E 'pulse|pipewire|xorg'使用ls -Z查看关键帧率相关文件/设备的标签：
# 查看GPU设备上下文
ls -Z /dev/dri/renderD128
# 输出：crw-rw----. 1 root video user_u:object_r:dri_device_t:s0 /dev/dri/renderD128
# 查看帧率配置文件的上下文
ls -Z /etc/pipewire/pipewire.conf
# 输出：-rw-r--r--. 1 root root user_u:object_r:etc_t:s0 /etc/pipewire/pipewire.conf
常见错误：如果帧率进程的安全上下文出现
unconfined_t，虽然权限不受限，但无法利用SELinux的知识做精细调度保护，导致帧率波动时无法回溯域违规日志。建议始终让帧率进程处于自定义域（如ffmpeg_t）而非无限制域。
1.4 安全上下文构成与标签查看流程图
下图展示SELinux安全上下文四字段结构、帧率进程的标签示例，以及两条核心查看命令的对应关系：
1.5 快速诊断：标签不匹配的典型后果
| 现象 | 可能原因 | 推荐检查命令 |
|---|---|---|
| ffmpeg无法打开GPU硬编解码器 | 进程域ffmpeg_t无权访问dri_device_t | ls -Z /dev/dri/* |
| PipeWire音频延迟突然升高 | 域pipewire_t被限制读取audio_data_t缓冲区 | ps -Z -C pipewire |
| 帧率监控工具返回空值时 | 监控进程域monitor_t无权限访问目标进程的/proc目录 | ls -Z /proc/<pid> |
实验练习：找出一个运行中的帧率相关进程（如
pipewire、ffmpeg或pulseaudio），使用ps -Z -p $(pgrep -x 进程名)记录其安全上下文，然后交换两个字段的顺序或更改类型字段值，观察avc: denied审计日志的生成。这为后续策略配置优化奠定基线。