Android Sepolicy 相关工具
文章参考 Android 9.0 源码，以翻译为主，留做备用参考。
Sepolicy 工具位于 system/sepolicy/tools/
build_policies.sh
为多个目标并行构建SELinux策略的工具。这对于在多个目标上快速闫增新的测试或Neveralow规则很有用。
用法：
./build_policies.sh ~/android/master ~/tmp/build_policies
./build_policies.sh ~/android/master ~/tmp/build_policies sailfish-eng walleye-eng
checkfc
用于检查 file_contexts 或 property_contexts 配置文件有效性的工具。policy build 过程中包含以上两个文件的验证。检查 file_contexts 或 property_contexts 文件中安全上下文的有效性时，需要使用 sepolicy 文件作为参数。
用法1：
checkfc sepolicy file_contexts
checkfc -p sepolicy property_context
也可以用于比较两个 file_contexts 或 file_contexts.bin 文件。输出结果显示为 subset、equal、superset或incomparable 其中之一.
用法2：
checkfc -c file_contexts1 file_contexts2
举例：
$checkfc-c out/target/product/shamu/system/etc/general_file_contexts out/target/product/shamu/root/file_contexts.bin
subset
checkseapp
用于合并主 seapp_contexts 配置和特定设备配置的工具，同时检查配置的有效性。被用作 policy build 过程的一部分，用来合并和验证配置。
用法：
checkseapp -p sepolicy input_seapp_contexts0 [input_seapp_contexts1...] -o seapp_contexts
insertkeys.py
一个辅助脚本，用于将 mac_permissions.xml 中签名段的标记映射到 pem 文件中的公钥。这个脚本将在sepolicy/README中进一步描述。
post_process_mac_perms
该工具用于帮助修改现有的 MaqPyExist.xml，添加当前策略中不存在的附加的应用程序证书。该工具在搜索应用程序目录，并将这些应用程序中的证书添加到尚未显式列出的策略时非常有用。
用法：
post_process_mac_perms [-h] -s SEINFO -d DIR -f POLICY-s SEINFO, --seinfo SEINFO seinfo tag for each generated stanza
-d DIR, --dir DIR Directory to search for apks
-f POLICY, --file POLICY mac_permissions.xml policy file
sepolicy-check
该工具用于审核 sepolicy 文件中任何赋予权限的允许规则。
用法：
sepolicy-check -s <domain> -t <type> -c <class> -p <permission> -P out/target/product/<board>/root/sepolicy
sepolicy-analyze
用于对 sepolicy 文件执行各种分析的组件化工具。当前支持的分析类型包括：
TYPE EQUIVALENCE (typecmp)
sepolicy-analyze out/target/product/<board>/root/sepolicy typecmp -e
显示"equivalent"的所有类型对，即它们的允许规则相同，包括通过属性的间接允许规则和默认启用的条件规则（即默认布尔值生成的真正条件表达式）。
等价类型是合并为单个类型的备选。但是，可能有正当理由使它们保持独立，例如：
- 类型可能在当前分析中以外方面不同，例如默认禁用的条件规则、审核相关规则（auditallow或dontaudit）、默认类型转换或约束（例如mls）。
- 当前策略可能对于一个或另一个类型过于宽松，因此正确的操作可能是加强对一个或另一个类型的访问，而不是将它们合并在一起。
- 实际上对这些类型具有不同访问权限的域可能尚未定义，或者可能未在您分析的策略中定义。
TYPE DIFFERENCE (typecmp)
sepolicy-analyze out/target/product/<board>/root/sepolicy typecmp -d
显示不同的类型对，以及在两种类型之间发现的第一个差异。这可用于查找不相同，但可以作为合并备选的相似类型。
DUPLICATE ALLOW RULES (dups)
sepolicy-analyze out/target/product/<board>/root/sepolicy dups
显示重复的允许规则，即授予相同权限的允许规则对，其中一个允许规则直接依据独立类型写入，另一个则依据相同类型关联的属性写入。具有独立类型的规则是要删除的候选规则。具有独立类型的规则可以在源策略中直接表示，也可以是类型否定扩展的结果（例如，策略编译器将域'-foo' '-bar'扩展为独立允许规则）。具有unconfineddomain的域通常会有重复的规则，如自然的副作用，并且可以忽略。
PERMISSIVE DOMAINS (permissive)
sepolicy-analyze out/target/product/<board>/root/sepolicy permissive
显示策略中允许的域，即avc拒绝被记录，但不对这些域强制。虽然允许域在开发过程中会有帮助，但它们不应该出现在最终用户版本中。
BOOLEANS (booleans)
sepolicy-analyze out/target/product/<board>/root/sepolicy booleans
显示策略中的布尔名称（如果有）。Android策略中禁止使用布尔值，因此如果有任何输出，该策略将使CTS失败。
ATTRIBUTE (attribute)
sepolicy-analyze out/target/product/<board>/root/sepolicy attribute <name>
显示与指定属性名关联的类型。
sepolicy-analyze out/target/product/<board>/root/sepolicy attribute -r <name>
显示与指定类型名关联的属性。
sepolicy-analyze out/target/product/<board>/root/sepolicy attribute -l
显示策略中的所有属性。
NEVERALLOW CHECKING (neverallow)
sepolicy-analyze out/target/product/<board>/root/sepolicy neverallow [-w] [-d] [-f neverallows.conf] | [-n "neverallow string"]
检查 sepolicy 文件是否违反 neveralow.conf 文件或指定字符串的 neveralow 规则，字符串应包含与 SELinux policy.conf 文件格式相同的 neveralow 语句，即在从 .te 文件中对规则进行 m4 宏扩展之后。您可以使用整个 policy.conf 文件作为 neverallows.conf 文件，sepolicy analyze 将忽略除其中的 neverallows 之外的所有内容。还可以将其指定为命令行字符串参数，这对于快速检查单个展开的规则或规则组很有用。如果没有违反，sepolicy-analyze 将成功退出，没有输出。否则，sepolicy-analyze 将报告所有违规行为，并以非零退出状态退出。
'-w'或'--warn'选项可用于警告 neveralow 规则中无法在 sepolicy 文件中解析的任何types、attributes、classes 或 permissions。这可能是正常的，因为从中获取 neverallow 规则的策略与正在检查的策略之间存在差异。这些值将被忽略，以供以后进行检查。
'-d'或'--debug'选项可用于使 sepolicy analyze 在解析 neveralow 规则时输出这些规则。这主要是解析器的一个调试工具，但也可以用于从完整的 policy.conf 文件中提取 neverallow 规则，并以更容易解析的格式输出它们。
from: https://segmentfault.com/a/1190000021733720
