Android7.1添加开机启动服务程序关于Selinux权限问题说明

当需要添加一个binder服务xxx程序，并且设置成开机自启动时，需要按照如下步骤操作：

第一步，我们可以在init.rc中添加了如下代码行：

service xxxx /system/bin/xxxx
class main
user root
group root
oneshot
seclabel u:r:xxxx:s0   #这句是为加selinux权限添加的，android5.1以后不加则无法启动该服务

编译img后烧到机器，发现服务xxx无法启动，kernel log中有如下提示（例如这里新加的服务程序是eGTouchD的log）：

[    3.958386] init: Service eGTouchD does not have a SELinux domain defined.

该提示说明没有定义SELinux domain，导致服务eGTouchD无法自启动。

第二步，为了解决这个问题我们按如下方式修改并且添加sepolicy文件：

修改seplicy/file_contexts文件，添加以下内容：

/system/bin/xxx     u:object_r:xxx_exec:s0

第三步，在sepolicy目录新增xxx.te文件，并在其中添加如下内容：

需要为新增的进程增加域、执行权限
type xxx, domain;
type xxx_exec, exec_type, file_type;
然后启用这个域
init_daemon_domain(xxx)，

例如我下面添加的一个sepolicy/eGTouchD.te文件的例子：

type eGTouchD, domain;
type eGTouchD_exec, exec_type, file_type;


init_daemon_domain(eGTouchD)

allow eGTouchD init_tmpfs:file create_file_perms;
allow eGTouchD self:capability { dac_override net_admin net_raw setgid setuid };
allow eGTouchD device:dir { open read };
allow eGTouchD shell:lnk_file { read };
allow eGTouchD rootfs:lnk_file { getattr };
allow eGTouchD socket_device:sock_file { write };

详细可参考seplicy/目录下的其他te文件。

或者根据logcat中打印出来的avc：denied log报错来添加，先把相关的avc报错全部收集起来：

在相应的te、文件中增加语句，语句格式为

allow sourcecontext targetcontext:class { 许可 };

例如出现下面的avc log，可以这样添加：

[ 4.009832] type=1400 audit(1577344637.716:12): avc: denied { read } for pid=263 comm=“lowmem_manage.s” path="/system/bin/sh" dev=“mmcblk1p10”
ino=467 scontext=u:r:lowmem_manage:s0 tcontext=u:object_r:shell_exec:s0 tclass=file permissive=1

sourcecontext指的是"scontext=u:r:lowmem_manage:s0"中的lowmem_manage，targetcontext指的是"tcontext=u:object_r:rfs_system_file:s0"中的rfs_system_file，
class指的是"tclass=file"中的file，许可指的是"avc: denied { read }"中的read。

所以增加语句
allow lowmem_manage rfs_system_file:file { read };

其他avc报错可以类似添加即可。

PS：

其实有时候可以在init.xxxx.rc文件执行一些拷贝或者赋权限的操作，例如我这里：

--- a/init.tablet.rc
+++ b/init.tablet.rc
@@ -3,7 +3,13 @@ on post-fs-data
     #CABC
     chown root system /sys/class/graphics/fb0/cabc
     chmod 0664 /sys/class/graphics/fb0/cabc
+
+    #add for eGTouchD  by czd 2020-03-05
+    chmod 0664 /sys/devices/platform/eeti_usbtp/eeti_usbtp
     chmod 0755 /system/bin/eGTouchD  //赋权限
+    copy system/etc/eGTouchA.ini /data/eGTouchA.ini  //拷贝
+    chmod 0777  /data/eGTouchA.ini
+    #add end