策略查询工具

本文承接 AVC Denial 日志和 audit2allow 工具。前者给出 source/target/class/permission 四元组，后者说明候选规则不能直接接受；本文补上中间的验证步骤：如何查询当前 policy 中是否真的存在匹配规则，attribute 是否展开到了目标 type，genfscon 是否给某个文件系统路径提供标签。

需要先划清实现边界：AOSP Android 17 不包含 SETools 的 sesearch 与 seinfo 源码；AOSP 自己提供的是功能较窄的 system/sepolicy/tests/searchpolicy.py，底层通过 libsepolwrap 读取二进制 policy。sesearch/seinfo 是宿主机工具，searchpolicy.py 是 AOSP host 测试工具，三者都消费 policy binary，而不是 .te 或 denial 文本。

查询到规则只能证明“这个 policydb 中存在一条匹配记录”，不能单独证明设备当前加载的是同一份 policy、条件规则在运行时取真、MLS constraint 不会拒绝，或对象实际 label/class 与查询一致。

1. 工具边界

1.1 两套实现

工具	来源	能查询什么	主要消费者
`sesearch` / `seinfo`	外部 SETools	规则、类型、attribute、统计信息	主机调试人员
`searchpolicy.py`	AOSP tests	allow、genfscon、attribute 展开	CTS/VTS 与 AOSP 测试
`sepolicy-analyze`	AOSP host tool	permissive、neverallow 等专项分析	Soong 构建与测试

1.2 查询数据流

2. AOSP查询器

2.1 参数入口

源码文件：system/sepolicy/tests/searchpolicy.py

python

def do_main(libpath):
    parser = argparse.ArgumentParser(
        description="SELinux policy rule search tool. Intended to have a "
            + "similar API as sesearch, but simplified to use only code "
            + "available in AOSP")
    parser.add_argument("policy", help="Path to the SELinux policy to search.",
                        nargs="?")
    tertypes = parser.add_argument_group("TE Rule Types")
    tertypes.add_argument("-A", "--allow", action="append_const",
                        const="allow", dest="tertypes",
                        help="Search allow rules.")
    genfs = parser.add_argument_group("Genfscon Statements")
    genfs.add_argument("--genfs", action="store_true",
                       help="Display genfscon statements.")
    expr = parser.add_argument_group("Expressions")
    expr.add_argument("-s", "--source")
    expr.add_argument("-t", "--target")
    expr.add_argument("-c", "--class", dest="tclass")
    expr.add_argument("-p", "--perms", metavar="PERMS")
    expr.add_argument("-f", "--fs")

    args = parser.parse_args()
    if not args.tertypes and not args.genfs:
        parser.error("Must specify \"--allow\" or \"--genfs\"")
    if not args.policy:
        parser.error("Must include path to policy")

入口只支持 allow 和 genfscon 两类查询。-s/-t/-c/-p 过滤 source、target、class、permission；-f 只对 genfs 查询文件系统。缺少查询类型或 policy 路径时，解析阶段直接失败。

2.2 查询分派

源码文件：system/sepolicy/tests/searchpolicy.py

python

pol = policy.Policy(args.policy, None, libpath)

if args.genfs:
    for fs, path, context, _ in pol.QueryGenfs(fs=args.fs, target=args.target):
        print("genfscon " + fs + " " + path + " " + context)

if args.tertypes:
    scontext = {args.source} if args.source else set()
    tcontext = {args.target} if args.target else set()
    tclass = set(args.tclass.split(",")) if args.tclass else set()
    perms = set(args.perms.split(",")) if args.perms else set()

    TERules = pol.QueryTERule(scontext=scontext, tcontext=tcontext,
                               tclass=tclass, perms=perms)
    rules = []
    for r in TERules:
        rules.append("allow " + r.sctx + " " + r.tctx + ":" + r.tclass +
                     " { " + " ".join(sorted(r.perms)) + " };")
    for r in sorted(rules):
        print(r)

allow 和 genfs 查询共享一个 policydb 快照。输出阶段只格式化 allow，不显示 neverallow、dontaudit 或 conditional expression；需要这些维度时应使用 SETools 或 AOSP 专项测试。

2.3 host模块

源码文件：system/sepolicy/tests/Android.bp、system/sepolicy/tests/searchpolicy.py

make

python_binary_host {
    name: "searchpolicy",
    srcs: ["searchpolicy.py"],
    libs: ["pysepolwrap"],
    data: [":libsepolwrap"],
}

Blueprint 先声明 host 目标和运行时依赖，脚本入口再负责把 wrapper 解压到临时目录并启动查询；两段代码分别属于构建 owner 和执行 owner。

python

if __name__ == "__main__":
    with tempfile.TemporaryDirectory(ignore_cleanup_errors=True) as temp_dir:
        # Extract the wrapper for the host Python process.
        lib_path = policy.ReadLibsepolwrap(temp_dir)
        do_main(lib_path)

Soong 把脚本、Python library 和 wrapper 作为 host 工具打包；它不是 device binary，不能在设备 shell 中假定存在。