4. 安全校验总体设计：校验原则、校验层次

V4L2 驱动的 ioctl 接口是用户空间与内核空间交互的核心通道，其安全性直接决定整个视频子系统的健壮性。本章从总体设计视角出发，明确安全校验的三大原则与三层校验体系，为后续各层的具体实现奠定理论基础。

4.1 安全校验三大原则

在 V4L2 驱动的 ioctl 安全校验设计中，必须遵循以下三条核心原则：

4.2 三层校验体系架构

V4L2 驱动的安全校验分为三个层次，从外到内依次为：用户态参数校验、内核态权限校验、硬件状态校验。三层校验形成完整的防御链条。

4.3 用户态参数校验

用户态参数校验是防御的第一道防线，主要解决以下三类威胁：

• 指针有效性：确保用户传入的指针指向合法的用户空间地址，避免内核访问非法内存
• 参数范围：检查枚举值、尺寸、标志位等是否在合法范围内，防止越界访问
• 数据完整性：通过 copy_from_user 安全拷贝数据，避免竞争条件（TOCTOU）

/* 用户态参数校验典型实现 */
static int v4l2_ioctl_check_args(struct file *file, unsigned int cmd, unsigned long arg)
{
    struct v4l2_format fmt;
    int ret;

    /* 1. 指针有效性校验 */
    if (!access_ok(VERIFY_READ, (void __user *)arg, sizeof(fmt)))
        return -EFAULT;

    /* 2. 安全拷贝用户数据 */
    ret = copy_from_user(&fmt, (void __user *)arg, sizeof(fmt));
    if (ret)
        return -EFAULT;

    /* 3. 参数范围校验 */
    if (fmt.type != V4L2_BUF_TYPE_VIDEO_CAPTURE &&
        fmt.type != V4L2_BUF_TYPE_VIDEO_OUTPUT)
        return -EINVAL;

    if (fmt.fmt.pix.width > MAX_WIDTH || fmt.fmt.pix.height > MAX_HEIGHT)
        return -EINVAL;

    return 0;
}

4.4 内核态权限校验

内核态权限校验在参数校验通过后执行，确保调用者具有执行特定 ioctl 命令的合法权限：

/* 内核态权限校验典型实现 */
static int v4l2_ioctl_check_permission(struct file *file, unsigned int cmd)
{
    struct video_device *vdev = video_devdata(file);

    /* 1. 写操作需要写权限 */
    if (_IOC_DIR(cmd) & _IOC_WRITE) {
        if (!(file->f_mode & FMODE_WRITE))
            return -EPERM;
    }

    /* 2. 敏感命令需要 CAP_SYS_ADMIN */
    switch (cmd) {
    case VIDIOC_S_HW_FREQ:
    case VIDIOC_DBG_G_CHIP_INFO:
        if (!capable(CAP_SYS_ADMIN))
            return -EPERM;
        break;
    }

    /* 3. 检查设备是否被独占锁定 */
    if (vdev->exclusive_open && file->private_data != vdev->exclusive_file)
        return -EBUSY;

    return 0;
}

4.5 硬件状态校验

硬件状态校验是最后一道防线，确保在操作执行前硬件处于正确的状态：

• 流控状态检查：确认设备是否处于 streaming 状态，防止在错误状态下配置硬件
• 缓冲区状态验证：检查缓冲区队列是否为空、是否有未处理的 DMA 传输
• 中断/错误标志检查：读取硬件错误寄存器，确保设备没有处于故障状态
• 电源管理状态：确认设备已上电且时钟稳定，避免操作未初始化的硬件

/* 硬件状态校验典型实现 */
static int v4l2_ioctl_check_hw_state(struct v4l2_device *dev, unsigned int cmd)
{
    /* 1. 检查设备是否已初始化 */
    if (!dev->hw_initialized)
        return -ENODEV;

    /* 2. 检查电源状态 */
    if (dev->power_state != V4L2_POWER_ON)
        return -ESHUTDOWN;

    /* 3. 检查硬件错误标志 */
    if (dev->hw_error_flags & V4L2_HW_ERR_FATAL)
        return -EIO;

    /* 4. 特定命令需要检查流控状态 */
    if (cmd == VIDIOC_STREAMOFF || cmd == VIDIOC_QBUF) {
        if (dev->stream_state == V4L2_STREAM_OFF)
            return -EINVAL;
    }

    return 0;
}

4.6 三层校验的协同流程

三层校验并非独立执行，而是按照严格的顺序协同工作。任何一层校验失败，后续层都不再执行：

4.7 校验失败处理策略

当任何一层校验失败时，驱动必须执行统一的失败处理流程：

1. 立即返回错误码：不执行任何硬件操作，避免设备进入不一致状态
2. 清理临时资源：释放已分配的内存、解锁已获取的互斥锁
3. 记录审计日志：使用 dev_err 或 pr_warn 记录失败原因，便于调试
4. 保持设备状态：不修改任何硬件寄存器或内部状态变量

/* 统一的校验失败处理 */
static int v4l2_ioctl_safety_check(struct file *file, unsigned int cmd, unsigned long arg)
{
    int ret;

    /* 第一层：用户态参数校验 */
    ret = v4l2_ioctl_check_args(file, cmd, arg);
    if (ret) {
        dev_err(video_devdata(file)->dev,
                "ioctl 0x%x: 参数校验失败, ret=%d\n", cmd, ret);
        return ret;
    }

    /* 第二层：内核态权限校验 */
    ret = v4l2_ioctl_check_permission(file, cmd);
    if (ret) {
        dev_warn(video_devdata(file)->dev,
                 "ioctl 0x%x: 权限校验失败, ret=%d\n", cmd, ret);
        return ret;
    }

    /* 第三层：硬件状态校验 */
    ret = v4l2_ioctl_check_hw_state(video_devdata(file)->v4l2_dev, cmd);
    if (ret) {
        dev_err(video_devdata(file)->dev,
                "ioctl 0x%x: 硬件状态校验失败, ret=%d\n", cmd, ret);
        return ret;
    }

    return 0;
}