Genfs Contexts

本文面向已经读过安全上下文、File Contexts 和 M4预处理的读者。File Contexts 依靠用户空间路径数据库和 security.selinux xattr；Genfs Contexts 则进入编译后的 SELinux policy，由内核使用文件系统类型与挂载内路径为 inode 计算 SID。

“proc/sysfs 不支持 xattr，所以挂载时由 genfscon 统一标注”只是粗略描述。Android 17 的真实路径更复杂：内核先为 superblock 选择 SECURITY_FS_USE_* 行为；proc、binder、bpf 等文件系统设置 genfs flag；inode 首次初始化时才构造挂载内路径并查询 policy；sysfs/cgroup 等还能以 genfs SID 作为默认值，再由内核内建 xattr 覆盖。缺少匹配时 inode 可能变成 unlabeled，而不是自动继承最近的 file_contexts。

Android 17 还引入了 genfs label 版本协商。Vendor 分区记录自己接受的 genfs labels 版本，init 选择 /system/etc/selinux/plat_sepolicy_genfs_<version>.cil 加入 split policy 编译，避免新 system 标签改变旧 vendor 对 proc/sysfs 节点的访问假设。本文会把构建、版本、内核消费、失败路径和测试证据串成一条可复查主线。

1. 标签模型

1.1 Xattr行为

ext4、f2fs、erofs 等在 fs_use 中声明 fs_use_xattr。这类文件系统的 inode SID 通常来自持久化 security.selinux，没有 xattr 时使用 default SID。

源码文件：system/sepolicy/private/fs_use

text

fs_use_xattr ext4 u:object_r:labeledfs:s0;
fs_use_xattr f2fs u:object_r:labeledfs:s0;
fs_use_xattr overlay u:object_r:labeledfs:s0;
fs_use_xattr erofs u:object_r:labeledfs:s0;
fs_use_xattr virtiofs u:object_r:labeledfs:s0;

1.2 Task与Transition

pipefs/sockfs 使用 task SID；tmpfs/devtmpfs 等使用 task、filesystem 和 class 的 type transition。它们也不是 genfs 路径查找。

源码文件：system/sepolicy/private/fs_use

text

fs_use_task pipefs u:object_r:pipefs:s0;
fs_use_task sockfs u:object_r:sockfs:s0;

fs_use_trans devpts u:object_r:devpts:s0;
fs_use_trans tmpfs u:object_r:tmpfs:s0;
fs_use_trans devtmpfs u:object_r:device:s0;
fs_use_trans shm u:object_r:shm:s0;

1.3 Genfs行为

如果 fs_use 没有为某个 filesystem type 指定行为，内核尝试用该文件系统根路径 / 查询 genfs。查询成功时将 superblock behavior 设为 SECURITY_FS_USE_GENFS；查询失败则设为 SECURITY_FS_USE_NONE。

源码文件：kernel/common/security/selinux/ss/services.c

c = policydb->ocontexts[OCON_FSUSE];
while (c) {
    if (strcmp(fstype, c->u.name) == 0)
        break;
    c = c->next;
}

if (c) {
    sbsec->behavior = c->v.behavior;
    rc = ocontext_to_sid(sidtab, c, 0, &sbsec->sid);
} else {
    rc = __security_genfs_sid(policy, fstype, "/",
                              SECCLASS_DIR, &sbsec->sid);
    if (rc) {
        sbsec->behavior = SECURITY_FS_USE_NONE;
        rc = 0;
    } else {
        sbsec->behavior = SECURITY_FS_USE_GENFS;
    }
}

因此是否走 genfs 由“文件系统类型是否在 policy 中有根规则”以及内核特殊 flag 共同决定，不是用户空间看到路径以 /proc 或 /sys 开头就直接决定。

2. 规则语法

2.1 四个字段

传统文本形式由 genfscon、filesystem type、挂载内路径和完整 Context 组成。路径不是 Android 全局路径：proc 的 /meminfo 对应挂载后的 /proc/meminfo，sysfs 的 /class/net 对应 /sys/class/net。

源码文件：system/sepolicy/private/genfs_contexts

text

genfscon proc /meminfo u:object_r:proc_meminfo:s0
genfscon proc /net u:object_r:proc_net:s0
genfscon proc /net/tcp u:object_r:proc_net_tcp_udp:s0
genfscon sysfs /class/net u:object_r:sysfs_net:s0
genfscon binder /vndbinder u:object_r:vndbinder_device:s0
genfscon bpf /loader u:object_r:fs_bpf_loader:s0

2.2 文件系统名

第一个 selector 来自 sb->s_type->name，必须与内核文件系统类型完全一致。Binderfs 在 policy 中使用 binder，并不使用 mountpoint 名 /dev/binderfs；BPF 文件系统使用 bpf。

2.3 路径前缀

当前 Android policy 没有启用 genfs_seclabel_wildcard capability，所以内核使用字符串前缀匹配。Policy loader 会把同一 filesystem 的路径按长度从长到短保存，查询时第一个匹配生效，由此实现最长前缀语义。

源码文件：kernel/common/security/selinux/ss/policydb.c

for (l = NULL, c = genfs->head; c; l = c, c = c->next) {
    if (!strcmp(newc->u.name, c->u.name) &&
        (!c->v.sclass || !newc->v.sclass ||
         newc->v.sclass == c->v.sclass)) {
        pr_err("SELinux: dup genfs entry (%s,%s)\n",
               genfs->fstype, c->u.name);
        goto out;
    }
    len = strlen(newc->u.name);
    len2 = strlen(c->u.name);
    if (len > len2)
        break;
}

newc->next = c;
if (l)
    l->next = newc;
else
    genfs->head = newc;

2.4 Class约束

二进制 policy 的 genfs entry 可以带 object class；内核只接受未限制 class 或与 inode class 相同的 entry。Android 文本中的常见规则不显式写 class，但查询函数仍保留该维度。

3. 当前规则集

3.1 文件系统规模

Android 17 platform private/genfs_contexts 包含 352 条 genfscon 规则。按当前源码统计，数量最多的是 proc、tracefs 与 sysfs；这反映了内核动态节点需要细粒度区分，并不意味着这些文件系统都允许 App 访问。

Filesystem	当前条目数
`proc`	115
`tracefs`	103
`sysfs`	76
`bpf`	14
`binder`	13
`debugfs`	12

3.2 Proc示例

源码文件：system/sepolicy/private/genfs_contexts

text

genfscon proc / u:object_r:proc:s0
genfscon proc /kallsyms u:object_r:proc_kallsyms:s0
genfscon proc /meminfo u:object_r:proc_meminfo:s0
genfscon proc /net u:object_r:proc_net:s0
genfscon proc /net/tcp u:object_r:proc_net_tcp_udp:s0
genfscon proc /pressure/memory u:object_r:proc_pressure_mem:s0
genfscon proc /sys/kernel/hostname u:object_r:proc_hostname:s0
genfscon proc /sys/vm/drop_caches u:object_r:proc_drop_caches:s0

3.3 Sysfs示例

源码文件：system/sepolicy/private/genfs_contexts

text

genfscon sysfs / u:object_r:sysfs:s0
genfscon sysfs /class/block u:object_r:sysfs_block:s0
genfscon sysfs /class/net u:object_r:sysfs_net:s0
genfscon sysfs /devices/system/cpu u:object_r:sysfs_devices_system_cpu:s0
genfscon sysfs /devices/virtual/block/dm- u:object_r:sysfs_dm:s0
genfscon sysfs /power/state u:object_r:sysfs_power:s0

3.4 Binder与BPF

源码文件：system/sepolicy/private/genfs_contexts

text

genfscon binder / u:object_r:binderfs:s0
genfscon binder /binder u:object_r:binder_device:s0
genfscon binder /hwbinder u:object_r:hwbinder_device:s0
genfscon binder /vndbinder u:object_r:vndbinder_device:s0
genfscon binder /binder_logs/proc u:object_r:binderfs_logs_proc:s0

genfscon bpf / u:object_r:fs_bpf:s0
genfscon bpf /loader u:object_r:fs_bpf_loader:s0
genfscon bpf /net_private u:object_r:fs_bpf_net_private:s0
genfscon bpf /vendor u:object_r:fs_bpf_vendor:s0

4. Policy构建

4.1 Policy输入

genfs_contexts 不是独立安装的运行时文本文件。它和 security_classes、*.te、fs_use、port_contexts 一起进入 se_build_files，随后参与 policy.conf、CIL 和二进制 policy 的构建。

源码文件：system/sepolicy/Android.bp

make

se_build_files {
    name: "se_build_files",
    srcs: [
        "security_classes",
        "initial_sids",
        "access_vectors",
        "global_macros",
        "te_macros",
        "attributes",
        "*.te",
        "roles_decl",
        "roles",
        "users",
        "initial_sid_contexts",
        "fs_use",
        "genfs_contexts",
        "port_contexts",
    ],
}

因此设备上不能像 file_contexts 那样简单替换一个 genfs 文本文件并运行 restorecon；必须重新编译并加载 SELinux policy，已有 inode 还涉及重新初始化或重新挂载。

4.2 M4与Board API

se_policy_conf 为策略输入传入 target_board_api_level 和 release flags。历史 API 快照中的 genfs_contexts 使用 starting_at_board_api() 控制新增标签；Android 17 当前分支把部分跨版本新增标签拆为额外 genfs CIL。

源码文件：system/sepolicy/build/soong/selinux.go

func boardApiLevelToM4Macro(ctx android.ModuleContext,
                           boardApiLevel *string) string {
    level := proptools.StringDefault(boardApiLevel, "current")
    if level == "current" {
        level = ctx.Config().ReleaseBoardApiLevel()
    }
    return "-D target_board_api_level=" + level
}

4.3 CIL表示

文本规则进入 CIL 后变成结构化 genfscon 表达式。例如：

源码文件：system/sepolicy/compat/plat_sepolicy_genfs_202604.cil

text

(genfscon sysfs "/class/udc" (u object_r sysfs_udc ((s0) (s0))))
(genfscon sysfs "/power/mem_sleep" (u object_r sysfs_mem_sleep ((s0) (s0))))
(genfscon sysfs "/class/typec" (u object_r sysfs_typec ((s0) (s0))))
(genfscon proc "/sys/kernel/firmware_config"
    (u object_r proc_firmware_config ((s0) (s0))))

这些文件不是完整 genfs 表，而是某个兼容版本允许平台追加的标签集合。

4.4 二进制Policy

checkpolicy/secilc 将 genfs 条目写入 policydb 的 genfs 列表。内核加载二进制 policy 时，genfs_read() 检查重复 filesystem/path/class，并按 filesystem 名和路径长度建立有序链表。

5. 版本协商

5.1 Vendor版本文件

Vendor 构建安装 /vendor/etc/selinux/genfs_labels_version.txt。默认值来自 BOARD_GENFS_LABELS_VERSION，未显式设置时等于 BOARD_API_LEVEL；构建系统禁止 genfs labels version 小于 board API level。

源码文件：build/make/core/config.mk

makefile

BOARD_GENFS_LABELS_VERSION ?= $(BOARD_API_LEVEL)
ifeq ($(call math_gt,$(BOARD_API_LEVEL),$(BOARD_GENFS_LABELS_VERSION)),true)
  $(error BOARD_GENFS_LABELS_VERSION ($(BOARD_GENFS_LABELS_VERSION)) \
      must be greater than or equal to BOARD_API_LEVEL ($(BOARD_API_LEVEL)))
endif

源码文件：system/sepolicy/Android.bp

make

genrule {
    name: "genfs_labels_version.txt.gen",
    out: ["genfs_labels_version.txt"],
    cmd: select(soong_config_variable(
            "ANDROID", "BOARD_GENFS_LABELS_VERSION"), {
        any @ value: "echo " + value + " > $(out)",
        default: "echo > $(out)",
    }),
}

5.2 读取回退

libgenfslabelsversion 读取 vendor 文件并解析整数。文件不存在或内容非法时回退到 202404，保证旧 vendor 不需要提供新文件。

源码文件：system/sepolicy/compat/libgenfslabelsversion/src/lib.rs

rust

const GENFS_LABELS_VERSION_TXT_PATH: &str =
    "/vendor/etc/selinux/genfs_labels_version.txt";
const DEFAULT_GENFS_LABELS_VERSION: i32 = 202404;

#[no_mangle]
pub extern "C" fn get_genfs_labels_version() -> i32 {
    match fs::read_to_string(GENFS_LABELS_VERSION_TXT_PATH) {
        Ok(contents) => match contents.trim().parse::<i32>() {
            Ok(version) => version,
            Err(_) => DEFAULT_GENFS_LABELS_VERSION,
        },
        Err(_) => DEFAULT_GENFS_LABELS_VERSION,
    }
}

5.3 Init选择CIL

Split policy 编译时，init 根据 vendor 版本拼出平台附加 CIL 路径。版本大于等于 202504 且文件缺失时直接失败；旧版本允许没有额外文件。

源码文件：system/core/init/selinux.cpp

cpp

int vendor_genfs_version = get_genfs_labels_version();
std::string genfs_cil_file = std::format(
        "/system/etc/selinux/plat_sepolicy_genfs_{}.cil",
        vendor_genfs_version);

if (access(genfs_cil_file.c_str(), F_OK) != 0) {
    if (vendor_genfs_version >= 202504) {
        LOG(ERROR) << "Missing " << genfs_cil_file;
        return false;
    }
    LOG(INFO) << "Missing " << genfs_cil_file << "; skipping";
    genfs_cil_file.clear();
} else {
    LOG(INFO) << "Using " << genfs_cil_file
              << " for genfs labels";
}

5.4 编译顺序

平台、system_ext、product、vendor、odm CIL 都加入 secilc 参数后，选中的 genfs CIL 最后追加。这让兼容 genfs 标签成为最终组合 policy 的一部分。

源码文件：system/core/init/selinux.cpp

cpp

if (!vendor_policy_cil_file.empty()) {
    compile_args.push_back(vendor_policy_cil_file.c_str());
}
if (!odm_policy_cil_file.empty()) {
    compile_args.push_back(odm_policy_cil_file.c_str());
}
if (!genfs_cil_file.empty()) {
    compile_args.push_back(genfs_cil_file.c_str());
}
compile_args.push_back(nullptr);

5.5 兼容动机

新 platform 若立即给旧 sysfs/proc 节点换成更具体 type，旧 vendor policy 可能只允许原有通用 type，导致 OTA 后访问中断。版本文件让 vendor 声明它理解到哪个 genfs label 集合，system 只加入相应兼容 CIL。

6. Policydb匹配

6.1 Filesystem查找

内核 policydb 按 fstype 字典序保存 genfs group。__security_genfs_sid() 遍历到第一个大于等于目标 fstype 的节点；没有精确 filesystem 名时返回 -ENOENT。

源码文件：kernel/common/security/selinux/ss/services.c

for (genfs = policydb->genfs; genfs; genfs = genfs->next) {
    cmp = strcmp(fstype, genfs->fstype);
    if (cmp <= 0)
        break;
}

if (!genfs || cmp)
    return -ENOENT;

6.2 Path查找

查询前会折叠多余的开头 /。当前无 wildcard capability 时，对每条候选执行 strncmp(rule_path, path, rule_len)，第一个前缀匹配即结束。

源码文件：kernel/common/security/selinux/ss/services.c

while (path[0] == '/' && path[1] == '/')
    path++;

sclass = unmap_class(&policy->map, orig_sclass);
*sid = SECINITSID_UNLABELED;

for (c = genfs->head; c; c = c->next) {
    if (!c->v.sclass || sclass == c->v.sclass) {
        if (wildcard) {
            if (match_wildcard(c->u.name, path))
                break;
        } else {
            size_t len = strlen(c->u.name);
            if (strncmp(c->u.name, path, len) == 0)
                break;
        }
    }
}

if (!c)
    return -ENOENT;
return ocontext_to_sid(sidtab, c, 0, sid);

6.3 最长前缀来源

最长前缀不是 query 函数现场比较所有长度，而是 policy load 时已将长 path 插到短 path 前面。因此调试时既要看 query，也要看 genfs_read() 的排序不变量。

6.4 边界字符

普通前缀匹配不检查下一个字符是否为 /。规则 /devices/virtual/block/dm- 有意覆盖 dm-0、dm-1；规则设计者必须自己决定是否保留尾斜杠以限制目录边界。

7. Superblock初始化

7.1 Genfs Flags

SELinux mount hook 对若干已知 pseudo filesystem 设置 SE_SBGENFS。proc 还设置 SE_SBPROC；sysfs/cgroup/cgroup2 设置 SE_SBGENFS_XATTR，表示先用 genfs 计算默认 SID，再尝试内核 xattr 覆盖。