3. SELinux 模式与策略：Enforcing、Permissive、Disabled 模式切换，策略文件结构概述

SELinux 在 Android 内核中的运行模式决定了安全策略的生效程度。理解三种模式的区别、切换方法以及策略文件的组织架构，是进行 SELinux 策略配置与调试的基础。本章将系统讲解模式切换的实战操作，并剖析策略文件的物理结构与逻辑层次。

3.1 SELinux 三种运行模式

SELinux 提供三种运行模式，分别对应不同的安全策略执行力度。在 Android 系统中，通常仅在调试或开发阶段使用非 Enforcing 模式。

3.2 模式切换实战操作

模式切换分为运行时临时切换与启动时持久化配置两种方式。以下为具体操作命令与配置方法。

3.2.1 运行时临时切换（需 root 权限）

使用 setenforce 命令可以立即切换当前系统的 SELinux 模式，重启后失效。

# 查看当前模式
getenforce

# 切换为 Permissive 模式（用于调试）
adb shell su -c "setenforce 0"

# 切换为 Enforcing 模式（恢复强制）
adb shell su -c "setenforce 1"

# 查看详细状态
adb shell su -c "cat /sys/fs/selinux/enforce"

3.2.2 启动时持久化配置

通过修改内核启动参数或设备树（DT）中的 androidboot.selinux 属性，可以实现开机时自动设定模式。

3.3 模式切换流程示意图

下图展示了从系统启动到运行时模式切换的完整流程，以及各阶段对应的配置点。

3.4 策略文件结构概述

SELinux 策略文件在 Android 源码中具有清晰的物理存储结构与逻辑编译层次。理解这些文件的作用是编写和修改策略的前提。

3.4.1 物理文件结构

Android 的 SELinux 策略文件主要位于 system/sepolicy 目录下，采用模块化组织方式。

system/sepolicy/
├── public/                  # 公共策略，所有平台共享
│   ├── attributes           # 属性定义
│   ├── types                # 类型定义
│   ├── roles                # 角色定义
│   ├── users                # 用户定义
│   └── initial_sids         # 初始安全标识符
├── vendor/                  # 厂商定制策略
│   ├── file_contexts        # 文件安全上下文
│   ├── genfs_contexts       # 虚拟文件系统上下文
│   ├── property_contexts    # 属性安全上下文
│   ├── service_contexts     # 服务安全上下文
│   └── seapp_contexts       # 应用进程安全上下文
├── plat_sepolicy.cil        # 平台编译后的 CIL 策略
├── vendor_sepolicy.cil      # 厂商编译后的 CIL 策略
├── mapping/                 # 版本映射文件
└── prebuilts/               # 预编译策略文件

3.4.2 核心策略文件功能对照

3.5 策略文件编译与加载流程

下图展示了从策略源文件到内核加载的完整编译与部署链路。

3.6 策略文件编写示例

以下是一个简单的 TE（Type Enforcement）规则文件示例，展示了类型声明、属性关联和访问向量规则的写法。

# 文件: system/sepolicy/public/my_daemon.te

# 声明类型
type my_daemon, domain;
type my_daemon_exec, exec_type, file_type;

# 声明属性
typeattribute my_daemon mlstrustedsubject;

# 初始化进程域转换
init_daemon_domain(my_daemon)

# 允许 my_daemon 读取系统日志
allow my_daemon logd:unix_dgram_socket sendto;
allow my_daemon logd:fd use;

# 允许 my_daemon 访问自己的数据目录
allow my_daemon my_daemon_data_file:dir create_dir_perms;
allow my_daemon my_daemon_data_file:file create_file_perms;

# 允许 my_daemon 与 netd 通信
allow my_daemon netd:unix_stream_socket connectto;

3.7 模式与策略的关联关系

理解模式与策略文件之间的依赖关系，有助于快速定位问题。