android5.0,6.0第三方签名APP，在SElinux下，如何获得对一个内核节点的访问权限？

在android6.0中，出于安全考虑，不允许第三方签名的app被分配mlstrustedsubject：


在external/sepolicy/untrusted_app.te文件中：


# Do not allow untrusted_app to be assigned mlstrustedsubject.
# This would undermine the per-user isolation model being
# enforced via levelFrom=user in seapp_contexts and the mls
# constraints.  As there is no direct way to specify a neverallow
# on attribute assignment, this relies on the fact that fork
# permission only makes sense within a domain (hence should
# never be granted to any other domain within mlstrustedsubject)
# and untrusted_app is allowed fork permission to itself.
neverallow untrusted_app mlstrustedsubject:process fork;


所以在使用第三方签名app时，希望第三方签名app某个进程能够对内核节点进行操作，可按如下修改：
1.在device/sprd/scx20/common/sepolicy/file_contexts 文件中添加：
/dev/abc u:object_r:abc_device:s0 
2.在device/sprd/scx20/common/sepolicy/device.te 文件中添加：
type abc_device, dev_type, mlstrustedobject;


3.在device/sprd/scx20/common/sepolicy/untrusted_app.te 文件中添加：
allow untrusted_app adc_device:chr_file operate;


operate为赋予的权限。


注：


mlstrustedsubject：这一attribute包含了所有能越过MLS检查的主体domain。


mlstrustedobject：这一attribute包含了所有能越过MLS检查的客体type。