android 解决AVC问题

运行avc denied的日志：

[ 20.626831] type=1400 audit(81582.939:4): avc: denied { read write } for comm="tee" name="mmcblk1rpmb" dev="tmpfs" ino=25616 scontext=u:r:tee:s0 tcontext=u:object_r:device:s0 tclass=chr_file permissive=0

根据SEinux policy规则，我们在相应的.te文件中添加allow规则

allow tee device:chr_file { open read write };

接着编译一下android，发现编译会报never allow的错误，报错内容如下：

libsepol.report_failure: neverallow on line 444 of system/sepolicy/public/domain.te (or line 12990 of policy.conf) violated by allow tee device:chr_file { read write };

libsepol.check_assertions: 1 neverallow failures occurred

Error while expanding policy

报错原因也比较直接，就是domain域中指明的规则，我们先看下为什么会报错吧

直接打开编译报错中那个domain.te，路径：system/sepolicy/public/domain.te，找到和我们添加的部分，搜索“device:chr_file”，可以找到如下内容了，看一下就明白了，不允许我们这样修改了。

# Don't allow raw read/write/open access to generic devices.

# Rather force a relabel to a more specific type.

neverallow domain device:chr_file { open read write };

那是什么原因导致的这个编译报错呢？

说直白一点就是当前这个process进程申请的权限过高了。

那有没有办法绕过这个报错呢？

当然是有的，可以参考如下步骤：

1、先查看一下是哪些相关的代码申请的这个权限，主要是判断一下是申请的属性还是device节点访问权限等。

2、新增加一个SELinux type

根据申请的类型可以进修改一下访问的Object的Lable

比如我这里是device节点，那我就在device.te中

type my_rpmb_device, dev_type;

3、绑定文件到这个SELinux type

因为我这里知道我访问的是/dev/mmcblk1rpmb节点，我在第一步中确认的，

所以在file_contexts中添加如下代码。

/dev/mmcblk1rpmb u:object_r:my_rpmb_device:s0

4、修改te文件，添加process/domain的访问权限

这里就比较简单了，直接添加对应的规则就可以了。

allow tee my_rpmb_device:chr_file { open read write };

最后重新再编译一下android，就不会再报之前的编译问题了