如何为所有用户将VS Code Server加入fapolicyd允许列表？

以下是几个无需逐个枚举用户目录、也不豁免整个主目录的实用方案：

1. 基于进程上下文的规则限制 #

利用fapolicyd支持父进程匹配的特性，仅允许VS Code主进程启动的子进程运行：

• 先添加信任VS Code主程序的规则（假设主程序路径为/usr/bin/code）：

  allow perm=execute all : path=/usr/bin/code
  

• 再添加允许VS Code子进程运行的规则：

  allow perm=execute all : parent=/usr/bin/code
  

该方案无需关注具体路径，只要是VS Code启动的扩展或子进程都能正常运行，同时其他进程无法从主目录执行代码。

2. 利用文件扩展属性（xattr）标记信任路径 #

通过给合法的VS Code相关目录添加专属扩展属性，让fapolicyd仅允许带有该属性的路径运行代码：

1. 给所有用户的.vscode-server目录添加扩展属性（root执行）：

   find /home -type d -name ".vscode-server" -exec setfattr -n user.fapolicyd.trusted -v 1 {} \;
   

2. 限制普通用户无法修改该属性，防止滥用：

   setfacl -m u::rx,g::rx,o::rx /home/*/.vscode-server
   setfacl -m d:u::rx,d:g::rx,d:o::rx /home/*/.vscode-server
   

3. 在fapolicyd规则中添加允许匹配该属性的路径：

   allow perm=execute all : path xattr=user.fapolicyd.trusted=1
   

后续新用户创建后，只需自动给其.vscode-server目录添加上述属性即可。

3. 共享只读VS Code核心+用户独立数据目录 #

将VS Code的核心可执行文件放在共享只读目录，用户仅在独立数据目录写入配置/扩展：

1. 在系统层面创建共享只读的VS Code Server核心目录：

   mkdir -p /opt/vscode-server/core
   # 将VS Code Server的核心二进制文件部署到该目录，设置为root所有、只读权限
   chown -R root:root /opt/vscode-server/core
   chmod -R 555 /opt/vscode-server/core
   

2. 为每个用户创建符号链接和独立数据目录：

   for user in $(ls /home); do
     mkdir -p /home/$user/.vscode-server/data
     ln -s /opt/vscode-server/core /home/$user/.vscode-server/bin
   done
   

3. 在fapolicyd中信任共享目录下的可执行文件：

   allow perm=execute all : path=/opt/vscode-server/core/*
   

用户的配置和扩展会存放在~/.vscode-server/data（无执行权限，无需豁免），运行时调用的核心二进制来自共享只读目录，既满足写入需求，又避免了安全风险。

4. 信任VS Code官方签名文件 #

如果使用的是官方发布的VS Code及扩展，可利用fapolicyd的签名验证功能：

• 导入VS Code的官方GPG公钥到fapolicyd的信任密钥库
• 添加规则允许带有合法签名的文件运行，无需关注路径：

  allow perm=execute all : trust=1
  

该方案需要确保所有允许运行的VS Code相关文件都带有官方签名，适合严格遵循官方部署的场景。

内容的提问来源于stack exchange，提问作者John David Ratliff