为何ttk组件会导致Tcl/Tk程序读取/etc/passwd与/etc/nsswitch.conf？

以下是一个简单的Tcl/Tk GUI程序（脚本文件名为hello.tk），使用ttk组件显示"Hello"：

#!/bin/sh
# The next line is executed by /bin/sh, but not by Tcl \
exec wish "$0" ${1+"$@"}

pack [ttk::label .l -text "Hello"]

运行前使用的Linux AppArmor配置：

abi <abi/3.0>,

include <tunables/global>

profile hello.tk @{HOME}/hello.tk {
  include <abstractions/base>
  include <abstractions/fonts>

  /{usr/,}bin/{da,}sh ix,
  /{usr/,}bin/wish[0-9]*.[0-9]* ix,

  @{HOME}/hello.tk r,
  /usr/share/tcltk/** r,
  owner /run/user/@{uid}/gdm/Xauthority r,
}

运行后通过sudo journalctl --since='today' --grep 'hello.tk' -f得到的AppArmor拒绝日志：

Jan 08 12:34:56 myhost audit[9500]: AVC apparmor="DENIED" operation="open" profile="hello.tk" name="/etc/nsswitch.conf" pid=9500 comm="wish" requested_mask="r" denied_mask="r" fsuid=1000 ouid=0
Jan 08 12:34:56 myhost audit[9500]: AVC apparmor="DENIED" operation="open" profile="hello.tk" name="/etc/passwd" pid=9500 comm="wish" requested_mask="r" denied_mask="r" fsuid=1000 ouid=0
Jan 08 12:34:56 myhost audit[9500]: AVC apparmor="DENIED" operation="open" profile="hello.tk" name="/etc/nsswitch.conf" pid=9500 comm="wish" requested_mask="r" denied_mask="r" fsuid=1000 ouid=0
Jan 08 12:34:56 myhost audit[9500]: AVC apparmor="DENIED" operation="open" profile="hello.tk" name="/etc/passwd" pid=9500 comm="wish" requested_mask="r" denied_mask="r" fsuid=1000 ouid=0

将ttk::label替换为普通label后，程序不会尝试读取这两个文件，说明是TTK组件导致的该行为。环境为Debian 12，Tcl/Tk版本8.6.13，请问原因是什么？

原因分析 #

TTK（主题化Tk）组件依赖系统的主题渲染框架，在Debian 12环境下，TTK默认使用GTK主题引擎来适配系统外观。GTK主题初始化过程中会触发以下文件读取操作：

• /etc/nsswitch.conf：该文件定义了系统查找用户、组等信息的优先级顺序，GTK需要通过NSS（名称服务切换）机制确认用户信息的来源，以此定位用户专属的主题配置文件路径，因此会读取该文件。
• /etc/passwd：GTK需要获取当前用户的UID、家目录等基础信息，用于加载用户家目录下的GTK主题配置（如.config/gtk-3.0/settings.ini），所以会读取该文件（仅读取公开的用户信息，不会涉及密码哈希内容）。

而普通的label组件使用Tk原生的非主题化渲染逻辑，不需要对接系统GTK主题框架，因此不会触发这两个文件的读取操作。

解决方法 #

方法1：添加AppArmor权限 #

在AppArmor配置文件中添加以下规则，允许程序读取这两个文件：

/etc/nsswitch.conf r,
/etc/passwd r,

方法2：切换TTK主题引擎 #

在脚本开头强制TTK使用不依赖GTK的主题引擎（如clam或alt），绕过GTK主题初始化流程：

#!/bin/sh
# The next line is executed by /bin/sh, but not by Tcl \
exec wish "$0" ${1+"$@"}

ttk::style theme use clam
pack [ttk::label .l -text "Hello"]

内容的提问来源于stack exchange，提问作者Flux